보라색 픽셀아트 코끼리가 코로 서버의 전원 버튼을 눌러 불을 끄는 애니메이션

PHP2Shell 취약점(CVE-2026-109618 · CVE-2026-109619) 점검·대응 도구

비공식 방어용 도구입니다. KISA · PHP 등 어느 기관의 공식 도구가 아니며 익스플로잇을 포함하지 않습니다. 저장소 이름의 kr은 한국어 자료라는 뜻입니다. 패치의 책임은 체계관리자에게 있습니다.

PHP 엔진의 메모리 안전성 결함으로 인증 없이 원격 코드 실행과 프로세스 메모리 노출이 가능합니다. 웹 요청을 처리하는 모든 SAPI(mod_php, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed)가 해당합니다. 이 도구는 서버의 PHP 버전, 벤더 패치 근거, 패치 후 재시작 필요 여부를 읽어 판정하고, 그 서버에 맞춘 패치 계획과 가상 패치 설정 파일을 만들어 줍니다. 설정과 패키지는 바꾸지 않습니다.

최신 릴리스 내려받기 (v1.0.0) GitHub 저장소

점검하는 법

내려받은 압축 파일의 SHA-256을 릴리스 노트의 값과 대조한 뒤 실행하세요. 종료 코드 0은 확인한 범위에 조치가 필요한 설치가 없다는 뜻이고, 1은 조치 필요, 3은 확인 불가입니다(안전하다는 뜻이 아닙니다).

환경명령
Linux · Unix · macOS (Python 불필요)sudo sh php2shell-quickcheck.sh
Windows (관리자 명령 프롬프트)php2shell-quickcheck.bat
전체 기능 (Python 3.6+)sudo python3 php2shell_kr.py

수정 버전

영향 범위: PHP 5.4 - 8.5 (8.6.0 RC3 이하 포함). 수정 버전은 아래와 같고 기준일은 2026-10-23입니다.

브랜치수정 버전
PHP 8.28.2.35
PHP 8.38.3.36
PHP 8.48.4.27
PHP 8.58.5.12
PHP 8.68.6.0RC4

PHP 7.4, 8.0, 8.1는 공식 릴리스 대신 소스 백포트 브랜치만 있습니다. 지원 버전으로 옮기는 계획을 세우세요.

자주 묻는 질문

PHP2Shell 취약점이 무엇인가요?

PHP 엔진의 메모리 안전성 결함으로 인증 없이 원격 코드 실행과 프로세스 메모리 노출이 가능합니다. 웹 요청을 처리하는 모든 SAPI(mod_php, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed)가 해당합니다. (CVE-2026-109618 · CVE-2026-109619, CVSS v4.0 9.2). 기준일 2026-10-23. 최초 악용 관측일은 2026-10-17입니다.

내 서버가 영향을 받는지 어떻게 확인하나요?

php -v는 명령줄(CLI) PHP만 보여 주므로 웹 서버가 실제로 쓰는 PHP와 다를 수 있습니다. 이 도구는 실행 중인 PHP-FPM · Apache · php-cgi · IIS FastCGI 등을 찾아 버전과 벤더 패치 근거, 패치 후 재시작 필요 여부를 판정합니다. 설정과 패키지는 바꾸지 않습니다.

어떤 버전으로 올려야 하나요?

공식 수정 버전은 8.2.35, 8.3.36, 8.4.27, 8.5.12, 8.6.0RC4입니다. PHP 7.4, 8.0, 8.1는 공식 릴리스 대신 PHP 보안팀의 소스 백포트 브랜치만 있고, 더 오래된 5.4~7.3은 수정이 없습니다. OS 배포판 PHP는 버전 번호가 낮아도 보안 수정을 백포트했을 수 있어 패키지 변경 이력으로 확인합니다.

패치한 뒤 PHP를 재시작해야 하나요?

네. PHP-FPM · Apache · LiteSpeed 같은 웹 SAPI를 재시작하지 않으면 메모리에 올라온 옛 코드가 계속 실행됩니다. 도구는 옛 파일을 쓰는 프로세스를 찾아 '재시작 필요'로 알려 줍니다.

지금 당장 패치할 수 없으면 어떻게 하나요?

임시 완화(설정 · WAF · 웹서버 규칙)는 공격 경로 일부만 줄이며 완전한 해결이 아닙니다. 이 도구는 서버에 맞춘 가상 패치 설정 파일을 만들어 주지만 적용 전 스테이징 시험이 필요합니다. 패치할 때까지 외부 접근을 제한하세요.

KISA나 PHP 공식 도구인가요?

아닙니다. 개인이 만든 비공식 방어용 도구이며 익스플로잇을 포함하지 않습니다. 권고 내용은 출처와 함께 저장소의 권고 데이터에 있습니다.

문서

출처