PHP2Shell 점검센터
CVSS 9.2 · 과기정통부 사이버위기경보 「주의」 상향 (2026-10-22)↗CVSS 9.2 · PHP 보안팀 공식 패치 공개 (2026-10-21) · CERT-EU 권고 2026-018 · 실제 공격 관측 (Amazon Threat Intelligence)

PHP2Shell,
우리 서버는 안전할까요?

인증 없이 서버 전체를 장악할 수 있는 PHP 치명적 취약점 2건이 공개됐습니다. 워드프레스·그누보드 등 PHP로 돌아가는 모든 사이트가 영향권입니다.워드프레스·라라벨·드루팔 등 PHP로 돌아가는 모든 사이트가 영향권입니다. 주소만 넣으면 영향 여부를 바로 확인해 드립니다.

🔍 무료 1분 점검 — 공격 없이 공개된 버전 정보만 확인합니다

본인이 소유했거나 관리 권한이 있는 사이트만 점검하세요. 결과는 서버가 공개한 버전 정보 기준이며, 사이트 전체 안전성을 보증하거나 보안 업데이트를 대체하지 않습니다.

전 세계 노출 현황10/25 기준
세계
3,255만아직 취약
1,001만수정판 적용
76.5%23.5%
대한민국
48.1만아직 취약
1.8만수정판 적용
96.3%3.7%
막대 = 판정 가능한(버전 공개) 서버 중 아직 취약(빨강) · 수정판 적용(초록) 비율 — 판정 불가 제외
전 세계·나라별 현황 자세히 보기 →
AI 상담으로 바로 물어보기PHP를 몰라도 괜찮습니다 · 16개 언어 · 담당자가 이어서 확인
전 세계 노출 현황

지금 이 순간에도, 수천만 대가 열려 있습니다

Censys ARC가 인터넷 전역을 스캔해 집계한 PHP2Shell 노출 현황입니다. 버전을 숨긴 서버는 집계에서 빠지므로, 실제 취약 서버는 이보다 많습니다.

0
전체 100%
PHP 서비스 전체
236개국 · 미국 최다 3,296만
0
전체의 57%
버전 숨김 — 판정 불가
안전한 게 아니라 밖에서 알 수 없는 것
0
전체의 33%
아직 취약
버전 공개 서비스 중 수정판 미적용
0
전체의 10.2%
수정판 적용 — 아직 이것뿐
10/21 이후 전환 확인 933만 · 최근 24시간 82.4만
전체 98,520,673 =판정 불가 55,954,554아직 취약 32,551,339수정판 적용 10,014,780미출시 버전을 보고하는 미끼 서버(허니팟) 612,132는 제외

대한민국 현황

PHP 서비스 수 세계 13위 · 10/25 기준
0
전체 100%
PHP 서비스 전체
인터넷에 노출된 추적 대상
703,618
전체의 58%
버전 숨김 — 판정 불가
안전한 게 아니라 밖에서 알 수 없는 것
0
전체의 40%
아직 취약
버전 공개 서비스 중 수정판 미적용
0
전체의 1.5%
수정판 적용 — 아직 이것뿐
10/21 이후 전환 확인 16,868 · 최근 24시간 1,606
전체 1,203,228 =판정 불가 703,618아직 취약 481,290수정판 적용 18,320
패치율 — 판정 가능한 서버 중 수정판 비율 (판정 불가 제외 · 초록 = 수정판 적용, 빨강 = 아직 취약)
패치율수정판 적용판정 가능
세계
23.6%10,014,78042,566,119
대한민국
3.7%18,320499,610

패치율 = 수정판 적용 ÷ (아직 취약 + 수정판 적용). 위 카드 숫자 그대로이며, 판정 불가는 넣지 않습니다. 세계 평균보다 낮다면 아직 대부분이 열려 있다는 뜻입니다. 나라별 현황 전체 보기 → · 내 사이트 무료 점검 →

버전을 공개한 서비스의 상태 · 4,200만

수정판 적용 700만 취약·수정판 있음 1,200만 취약·수정판 없음(8.1↓) 2,300만

전체 PHP 서비스의 약 절반은 버전을 숨겨 이 집계에 잡히지 않습니다. 숨긴 서버도 취약할 수 있어, 서버 안에서의 확인이 필요합니다.

브랜치별 수정판 채택률

PHP 8.5
56.4%
PHP 8.4
46.4%
PHP 8.3
33.1%
PHP 8.2
30.3%

최신 브랜치일수록 패치가 빠릅니다. PHP 8.1 이하는 공식 수정판이 없어, 상위 버전으로 올려야 합니다.

가장 많이 노출된 PHP 버전

7.4.33
15.3%수정판 없음
8.3.36
5.7%패치됨
8.3.35
5.4%취약
8.1.34
4.9%수정판 없음
8.2.34
4.4%취약
8.2.35
4.0%패치됨
8.5.12
3.8%패치됨
5.2.6
3.7%수정판 없음

막대 길이는 상대 비율입니다. 「취약」은 수정판을 아직 올리지 않은 서버라 패치 대행으로 끝나고, 「수정판 없음」은 8.1 이하라 패치가 아예 없어 PHP 업그레이드나 재구축으로 가야 하는 서버입니다 — 둘 다 점검센터가 대신해 드립니다.

무료 점검의 한계

숨겼다고 안전한 게 아닙니다

전 세계 PHP 서비스의 절반가량이 버전을 숨기고 있습니다. 버전을 숨긴 서버는 밖에서 취약 여부를 판정할 수 없습니다. 안전해서가 아니라 확인이 안 될 뿐이라, 서버 안에서 PHP 버전과 침해 흔적을 직접 봐야 합니다.

51%전 세계 PHP 서비스 중 버전을 숨긴 비율출처 Censys ARC (10/23)
내 사이트 무료 점검서버 안 점검 요청
밖무료 1분 점검
  • 공개된 PHP 버전(숨기지 않은 경우)
  • 워드프레스·그누보드 등 CMS 표지
  • 숨긴 PHP 버전
  • 실제 패치(백포트) 여부
  • 웹셸·백도어
  • 변조된 파일·수상한 관리자 계정
안웹런 서버 안 점검
  • 실제 PHP 버전과 백포트 여부
  • 웹셸·백도어 탐지와 격리
  • 변조 파일·수상한 계정·예약 작업
  • 접속 기록 속 공격 흔적
  • 패치 후 서비스 정상 동작 확인
  • 점검·조치 결과 보고서
우리 서버도 안에서 봐야 하는지 AI 상담으로 확인하기 →
무엇이 위험한가

비밀번호 없이, 내 홈페이지 자료가 통째로 넘어갑니다

공격자는 아이디도 비밀번호도 없이 내 홈페이지가 돌아가는 서버에 명령을 넣을 수 있습니다. 그러면 데이터베이스 접속 정보부터 읽히기 때문에, 사이트를 아무리 잘 만들었어도 안에 쌓아 둔 자료가 그대로 나갑니다. PHP 는 국내·해외 홈페이지 대부분이 쓰는 프로그램입니다.

털리는 것
회원·고객 정보이름·연락처·주소·가입 기록
주문·매출 기록언제 무엇을 얼마에 팔았는지
상품·가격 자료원가·거래처·재고까지
관리자 계정비밀번호·결제·메일 열쇠
서버 그 자체웹셸을 심어 계속 드나듬
홈페이지 화면변조·삭제·랭섬웨어

호스팅을 쓰시든 서버를 따로 두셨든 마찬가지입니다. 내 홈페이지가 PHP 로 돌아가면 대상입니다.

이런 일이 가능한 기술적 원인은 PHP 엔진의 결함 두 가지입니다.

CVE-2026-109618

메모리 부족(OOM) 처리 중 손상

한꺼번에 너무 많이 보내 검사를 망가뜨리면, 깨진 짐이 정상처럼 통과됩니다.

대용량 multipart 요청으로 메모리 한도를 넘기면, 덜 초기화된 요청 데이터가 정상 데이터처럼 처리되며 코드 실행으로 이어질 수 있습니다.

CVE-2026-109619

해제된 전역 상태 재사용

앞 사람이 두고 간 열쇠를 다음 사람이 받아 씁니다.

이전 요청이 남긴 내부 상태가 메모리 해제 뒤에도 남아, 같은 워커가 처리하는 다음 요청이 이를 참조하면서 코드 실행으로 이어질 수 있습니다.

정부 발표과학기술정보통신부 · 한국인터넷진흥원(KISA)2026-10-22 12:00 기준

민간 분야 사이버위기경보가 「관심」에서 「주의」로 상향되었습니다. PHP 개발팀이 10월 21일(현지 시각) 두 취약점을 고치는 보안 업데이트를 공개했으며, 정부는 기업·기관에 즉시 적용을 당부했습니다.

  • 버전 확인 후 즉시 업데이트 — 운영 중인 모든 홈페이지·시스템의 PHP 버전을 확인하고 최신판으로 올립니다.
  • 업데이트 뒤 웹 서비스 재시작 — 재시작 전에는 보안 수정이 적용되지 않습니다.
  • 침해 흔적 점검 — 취약점 정보가 이미 공개돼, 업데이트를 마친 시스템도 비정상 접속 기록·웹셸 설치 여부를 확인해야 합니다.
  • PHP 8.1 이하는 상위 버전으로 이전 — 공식 업데이트가 제공되지 않습니다.
  • 오래된 사이트·외주 쇼핑몰·장비 관리 페이지도 함께 살펴보고, 호스팅을 쓰는 소상공인은 호스팅사에 적용 여부를 문의합니다.

※ 출처가 불분명한 「PoC」 시험 코드는 내려받거나 실행하지 마십시오 — 악성코드가 섞인 것이 많습니다.

정부 발표 원문 (대한민국 정책브리핑) ↗ KISA 「PHP2Shell 기업 보안 대응 수칙」 ↗ 침해사고 신고 · KISA 디지털위협대응본부 02-405-4700
언론 보도 보기

정부 발표 내용은 대한민국 정책브리핑 보도자료를 인용했습니다 (공공누리 제1유형 · 출처표시).

9.2
CVSS v4.0 — Critical
무인증
로그인·사용자 조작 불필요
약 11만
국내 취약 추정 서버 (세계 6위)
10-17
공개 4일 전부터 공격 시도 관측 (Amazon)
패치 전
공격 이미 관측됨
PHP 버전취약안전(수정판)
PHP 8.58.5.12 미만8.5.12 이상
PHP 8.48.4.27 미만8.4.27 이상
PHP 8.38.3.36 미만8.3.36 이상
PHP 8.28.2.35 미만8.2.35 이상
PHP 8.1 이하전체수정판 없음 (지원 종료)

PHP 7.4·8.0·8.1은 공식 수정판이 없지만, 상위 버전으로 옮기는 동안 쓸 임시 소스 패치를 적용할 수 있습니다. PHP 8.2는 2026년 12월 31일로 보안 지원이 끝나므로 8.3 이상을 권합니다. (KISA 기업 보안 대응 수칙, 10-22)

Apache mod_php는 두 취약점에 직접 노출되며, PHP-FPM·LiteSpeed·FrankenPHP도 설정에 따라 영향을 받습니다. 워드프레스는 별개 취약점(wp2shell)도 함께 점검이 필요합니다.

대응 서비스

확인부터 조치까지, 한 번에

점검으로 끝나지 않습니다. 패치 적용, 웹셸 등 침해 흔적 점검, 재발 방지 설정까지 실제 운영 환경에 맞춰 대응해 드립니다.

긴급 패치 대행

운영 중단을 최소화하며 PHP를 안전한 버전으로 올리고, 서비스 정상 동작까지 확인합니다.

침해·웹셸 점검

이미 심어진 웹셸·백도어, 이상 접속 기록, 변조 파일을 찾아 격리하고 증거를 남깁니다.

정밀 보안 점검

PHP뿐 아니라 워드프레스·그누보드·서버 설정 전반의 노출 지점을 함께 진단합니다.

갈림길 진단

패치냐, 재구축이냐 — PHP 버전·프로그램·데이터 규모를 보고, 수정판 패치로 끝나는지 PHP 업그레이드나 재구축으로 가야 하는지 판정해 드립니다. 첫 판정은 무료입니다.

왜 센트리어인가

직접 겪고, 직접 막았습니다

취약점이 공개된 당일, 우리가 운영하는 170여 개 도메인을 전수 점검·패치하고 실제로 심어져 있던 웹셸을 찾아 격리했습니다. 교과서가 아니라 현장에서 나온 대응입니다.

  • 공개 당일 자체 서버 PHP 전수 패치 완료 (8.3.36)
  • 워드프레스 다중 사이트에서 은닉형 웹셸 탐지·격리 경험
  • nginx 전역 차단·공격 IP 대응 등 서버 하드닝 실무
  • 점검 → 패치 → 침해 확인 → 재발 방지까지 일괄 대응

공개 당일 대응 실적

170+

도메인 전수 점검·패치

24시간

탐지부터 격리까지 당일 대응

주식회사 센트리어 · 대표 최진백 · 웹런 webrun.kr ↗

긴급 상담 신청

지금 바로 대응을
시작하세요

연락처만 남겨 주시면 담당자가 빠르게 연락드립니다. 점검 결과가 있다면 함께 보내 주세요 — 상황을 미리 파악해 더 정확히 안내해 드립니다.

  1. 1
    접수남겨 주신 내용과 점검 결과를 먼저 확인합니다
  2. 2
    연락담당자가 전화나 이메일로 상황을 여쭙습니다
  3. 3
    진단·견적작업 범위와 비용을 먼저 안내하고, 동의하신 뒤 진행합니다
  4. 4
    조치·결과 보고패치·침해 점검을 마치면 한 일과 결과를 정리해 드립니다
  • ✓ 영업시간 내 신속 회신
  • ✓ 첫 판정(패치냐, 재구축이냐)은 무료입니다
  • ✓ 남겨 주신 정보는 상담 목적으로만 사용합니다
AI 상담으로 먼저 물어보기 →
✅

신청이 접수되었습니다

담당자가 빠르게 연락드리겠습니다.

AI 상담