PHP 취약점 PHP2Shell, 카페24·가비아 사이트는 괜찮을까

PHP 개발팀은 10월 21일 밤 11시에 긴급 보안 업데이트를 냈어요. 원래 하루 뒤에 공개할 계획이었는데 취약점 번호가 커뮤니티와 SNS에 먼저 퍼지자 일정을 앞당겼어요. 서버 언어가 확인되는 웹사이트 열 곳 중 일곱 곳이 PHP를 써요. 워드프레스 블로그나 그누보드 게시판, 웹호스팅에 올린 회사 홈페이지도 대부분 PHP로 돌아가요.

직접 사이트를 운영한다면 내 사이트도 해당되는지, 누가 고쳐야 하는지부터 궁금할 거예요.

PHP2Shell 취약점이 위험한 이유

로그인하지 않은 사람도 요청 한 번만 보내면 서버에서 명령을 실행할 수 있어요.

방문자가 페이지를 열면 PHP가 그 요청을 받아 처리해요. 이번 결함은 이 처리 중 메모리를 정리하는 단계에 있어요. 공격자는 조작한 요청을 보내 사이트 프로그램이 돌기도 전에 서버에서 원하는 코드를 실행할 수 있어요. 위험도 점수는 10점 만점에 9.2점이에요.

문제는 사이트 프로그램이 아니라 PHP 자체에 있어요. 그래서 워드프레스나 플러그인을 최신 버전으로 올려도 이번 구멍은 막히지 않아요. 워드프레스도 공지에서 따로 낼 업데이트는 없고 PHP를 올려야 한다고 밝혔어요.

실제 공격도 확인됐어요. 미국 사이버보안청(CISA)은 21일 공지 때만 해도 실제 악용을 확인하지 못했다고 했어요. 그러다 10월 26일 두 취약점을 실제 공격에 쓰인 취약점 목록(KEV)에 올렸어요. 아마존은 공개 나흘 전인 10월 17일부터 공격 시도가 보였다고 밝혔어요. 다만 그 시도가 실제 서버에서 성공했는지는 분명하지 않다고 덧붙였어요. 클라우드플레어도 자사 고객 사이트를 노린 공격 시도를 확인했어요.

PHP 패치 방법, 운영 방식마다 고칠 사람이 달라요

아임웹 같은 사이트 빌더는 업체 공지만 확인하면 돼요. 웹호스팅은 업체가 서버를 고쳐 주지만 내 PHP 버전이 작업 대상에 들어갔는지는 직접 확인해야 해요.

아임웹처럼 디자인만 고르면 서버 관리는 업체가 맡아 주는 사이트 빌더라면 업체 공지만 확인해도 충분해요. 아임웹은 10월 22일 새벽 1시쯤 조치를 마쳤다며 서버를 직접 관리하니 고객이 할 일은 없다고 안내했어요.

워드프레스나 그누보드를 웹호스팅에 직접 설치했더라도 PHP는 호스팅 업체가 관리해요. 주요 업체는 21일 밤부터 22일 사이에 패치를 넣었는데 공지를 보면 업체마다 손본 버전이 서로 달라요. 아래 표는 10월 27일에 공지를 다시 열어 보고 옮긴 내용이에요.

업체	공지	패치 대상
카페24 호스팅	10월 21~22일	8.x 이하 전체에 임시 설정, 8.2 이상은 공식 패치, 7.4·8.1·7.0·7.3·5.5는 보안 패치
가비아	10월 21~22일	22일 0시~3시에 작업 완료, 지원 끝난 버전에는 백포트 패치나 완화 조치
iwinv	10월 22일	8.2~8.4는 업데이트, 7.4~8.1은 백포트 패치, 7.3 이하는 완화 조치. 22일 오후 3시 기준 모두 완료
후이즈	10월 22일	적용 완료, 어느 버전인지는 안내 없음
아임웹	10월 22일	조치 완료, 고객이 할 일 없음
닷홈·호스팅케이알·닷네임	22일 낮 12시까지 공지 없음	고객센터에 직접 물어보기

카페24 PHP 업데이트는 버전에 따라 조치가 갈려요

카페24는 10월 21일 하루 동안 공지를 세 번 올렸어요. 먼저 오전 11시 30분부터 PHP 8.x 이하 모든 서버에 임시 차단 설정을 걸었어요. 저녁 6시 30분부터는 파일 업로드와 입력 항목을 제한하는 설정도 더했어요. 밤 11시 30분부터는 PHP 8.2 이상 서버에 공식 패치를 차례로 적용했어요.

22일에는 지원이 끝난 버전에도 보안 패치를 넣는다는 공지가 세 번 더 올라왔어요. 오전 11시 30분에 7.4·8.1, 오후 3시 30분에 7.0·7.3, 오후 4시 30분에 5.5 서버 공지가 차례로 나왔어요. 업데이트 버전은 공지에 8.1.34p2, 7.4.33p2, 5.5.17p1처럼 적혀 있어요. 세 공지에 없는 버전을 쓴다면 패치가 들어갔는지 고객센터에 물어보세요.

카페24를 쓰는데 21일 저녁부터 게시판에 사진을 여러 장 한꺼번에 올리지 못하거나 입력 칸이 많은 상품 등록 화면이 저장되지 않는다면 업체가 추가로 건 임시 설정 때문일 수 있어요. 카페24는 한 번에 올리는 파일을 8개, 입력 항목을 200개로 제한했고, 문제가 생기면 고객센터로 문의하라고 했어요.

가비아 PHP 업데이트는 22일 새벽에 끝났어요

가비아는 처음에 10월 22일 0시부터 3시까지 PHP 7.4·8.4·8.5 서버에 보안 패치를 하겠다고 공지했어요. 작업하는 동안 서버마다 30분 안팎으로 사이트 접속이 끊길 수 있다는 안내도 붙였어요.

같은 22일 두 번째 공지에서는 웹호스팅에서 제공하는 버전 중 영향받는 버전 전반에 작업을 마쳤다고 했어요. 공식 업데이트가 나온 버전은 업데이트하고 지원이 끝난 버전에는 백포트 패치나 완화 조치를 넣었다는 설명이에요. 웹호스팅 고객이 따로 할 일은 없다면서도 8.1 이하는 상위 버전으로 바꾸라고 권했어요. 서버호스팅이나 클라우드처럼 서버를 직접 관리하는 상품이라면 고객이 업데이트를 직접 해야 해요.

iwinv는 옛 버전까지 진행 상황을 하나씩 공개했어요

iwinv는 공유형 웹호스팅의 PHP 버전별 진행 상황을 표로 공개했어요. 22일 오후 3시 기준 8.2부터 8.4까지는 업데이트를 끝냈고 7.4·8.0·8.1에는 백포트 패치를 넣었어요. 7.3 이하 옛 버전은 긴급 완화 조치까지 마쳤다고 해요.

후이즈·아임웹·닷홈은 공지 내용이 제각각이에요

후이즈는 22일 공지에서 영향받는 PHP 서비스에 보안 업데이트와 보안 설정을 적용했다고 밝혔어요. 다만 어느 버전인지는 적지 않았어요. 아임웹은 조치를 끝냈고 고객이 따로 할 일은 없다고 안내했어요. 닷홈·호스팅케이알·닷네임은 22일 낮 12시까지 관련 공지를 올리지 않았어요. 이 세 곳을 쓴다면 내 사이트의 PHP 버전과 PHP2Shell 패치 적용 여부를 고객센터에 물어보세요.

서버를 직접 운영하고 있다면 PHP 개발팀이 안내한 대로 지금 쓰는 리눅스 배포판의 보안 업데이트를 설치해야 해요.

PHP 8.1 이하 버전의 PHP2Shell 패치

PHP 8.1 이하 버전에는 공식 업데이트가 나오지 않아요. 호스팅 업체가 이 구멍을 따로 막아 주지 않으면 PHP 버전을 올려야 해요.

PHP 개발팀이 새 버전을 낸 건 지원 기간 안에 있는 8.2부터 8.5까지예요. 8.1 이하는 지원이 이미 끝났어요. 그런데 보안 업체들은 이 구멍이 훨씬 오래된 버전에도 있다고 봐요. 클라우드플레어는 PHP 5.4 이후 버전을 쓰는 서버가 모두 영향을 받는다고 판단했어요.

다만 PHP 보안팀이 7.4·8.0·8.1에 쓸 최소 수정 코드를 따로 내놓았어요. 새 버전에서 고친 내용을 옛 버전에 옮겨 붙인 패치인데, 이걸 백포트라고 해요. 가비아와 iwinv도 지원이 끝난 버전에 백포트 패치를 넣었다고 밝혔어요.

옛 버전으로 돌아가는 사이트도 적지 않아요. PHP를 쓰는 사이트 가운데 PHP 7이 26.9%, PHP 5가 7.7%예요. 오래전에 만든 그누보드 게시판이나 몇 년째 손보지 않은 회사 홈페이지라면 여기에 들어갈 가능성이 커요.

카페24는 임시 차단 설정만으로 100% 막을 수는 없다고 스스로 밝혔어요. 지원이 끝난 버전은 보안 패치를 받지 못하니 최신 버전으로 서둘러 옮기라는 안내도 했어요. 백포트 패치가 들어갔어도 내 사이트가 옛 버전이면 호스팅 관리 화면에서 PHP 버전을 8.2 이상으로 바꿔 두는 편이 안전해요.

카페24·가비아 PHP 버전 바꾸는 법

두 곳 다 관리 화면에서 PHP 버전 변경을 직접 신청할 수 있어요. 다만 바꾸면 기존 데이터가 초기화돼요.

카페24는 나의 서비스 관리 → 호스팅관리 → 연장/변경/추가옵션 → 변경신청 메뉴에서 서버 환경과 PHP 버전을 골라요. 변경하는 순간 모든 데이터와 DB가 지워지고 새 환경으로 초기화돼요. 이전 상태로 되돌리는 건 48시간 안에만 가능해요. PHP 5.2에서 올렸다면 다시 5.2로 돌아갈 수 없어요.

가비아는 My가비아 → 서비스 관리 → 호스팅 관리 콘솔에서 바꿀 웹호스팅을 선택하고 웹 서버 → 서버 환경 → 변경으로 들어가요. 여기서도 변경하면 기존 자료가 초기화되고 복원할 수 없어요. 신청은 평일 오전 9시부터 오후 6시 사이에만 처리돼요.

순서는 파일과 DB 백업이 먼저예요. 버전을 바꾼 뒤 백업해 둔 파일과 DB를 다시 올리면 돼요. 버전을 한 번에 크게 올리면 오래된 테마나 플러그인에서 오류가 날 수 있어요. 직접 하기 어렵다면 사이트를 만들어 준 업체에 맡기는 게 안전해요.

웹사이트 PHP 버전 확인 방법

워드프레스·그누보드는 관리자 화면에서, 그 밖의 사이트는 호스팅 관리 화면에서 확인할 수 있어요.

1. 워드프레스는 관리자 화면에서 도구 → 사이트 건강 → 정보 탭으로 들어가 서버 항목을 펼치면 PHP 버전이 나와요.
2. 그누보드5는 관리자 화면의 환경설정 → phpinfo() 메뉴를 열면 맨 위에 PHP Version이 보여요.
3. 그 밖의 사이트는 호스팅 업체 관리 화면에서 서비스 정보를 보거나 고객센터에 물어보세요.
4. PHP 8.2는 8.2.35, 8.3은 8.3.36, 8.4는 8.4.27, 8.5는 8.5.12 이상이면 이번 패치가 들어간 버전이에요. 8.1 이하는 버전 번호만 봐서는 패치가 들어갔는지 알 수 없어요. 호스팅 업체 공지에서 백포트 패치 여부를 확인하고 버전을 바꾸는 방법도 함께 알아보세요.

자주 묻는 질문