PHP2Shell 점검센터
해킹은 이렇게 일어납니다

로그인도 없이,
요청 한 번이면 끝납니다

PHP2Shell은 홈페이지 프로그램이 아니라 그 아래의 PHP 엔진이 뚫리는 결함입니다. 공격자가 무엇을 하고, 무엇을 가져가는지 — 기술 용어 없이 흐름으로 보여 드립니다.

CVSS 9.2 · 심각인증 불필요앱 로그에 흔적 거의 없음PHP 8.1 이하 수정판 없음

공격의 다섯 단계

장면이 자동으로 진행됩니다. 단계를 누르면 그 장면으로 갑니다.

다른 서버들 방문자 인터넷 공격자 내 홈페이지 PHP 내 서버 >_ 고객 명단 비밀번호 결제 정보 사업 문서 서버 열쇠
1
조용한 정찰

공격자는 인터넷 전체를 훑으며 서버가 스스로 알려 주는 PHP 버전만 모읍니다.

1

조용한 정찰

공격자는 인터넷 전체를 훑으며 서버가 스스로 알려 주는 PHP 버전만 모읍니다. 공격이 아니라서 로그에도 거의 남지 않고, 수정판이 아닌 서버만 골라냅니다. 버전을 숨긴 서버는 그냥 「모름」으로 두고 나중에 찔러 봅니다.

2

로그인 없이 요청 한 번

아이디도 비밀번호도 필요 없습니다. 특수하게 만든 요청 하나를 홈페이지 주소로 보낼 뿐입니다. 방문자가 글을 올리는 것과 겉보기엔 같습니다.

3

프로그램보다 먼저, 엔진에서 뚫림

PHP 엔진이 그 요청을 처리하다 메모리를 잘못 다루고, 워드프레스·그누보드 같은 홈페이지 프로그램이 실행되기도 전에 공격자의 코드가 실행됩니다. 그래서 홈페이지 프로그램을 아무리 업데이트해도 소용없고, 앱 로그에도 흔적이 거의 없습니다.

4

원격 조종 창(웹셸) 설치

서버 안에 작은 뒷문 파일을 심습니다. 이때부터 공격자는 관리자처럼 파일을 읽고 쓰고 명령을 내립니다. PHP를 나중에 패치해도 이미 심긴 웹셸은 그대로 남습니다.

5

가져가고, 번집니다

고객 명단·비밀번호·결제 정보·문서·서버 열쇠를 들고 나가고, 같은 서버의 다른 사이트와 방문자에게로 번집니다. 랜섬웨어·스팸 발송·가상화폐 채굴에도 서버를 씁니다.

해커가 가져가는 것들

홈페이지 하나가 뚫리면 홈페이지만 잃는 게 아닙니다.

고객 명단

이름·연락처·주소·생년월일. 유출되면 72시간 안에 개인정보위 신고와 고객 통지 의무가 생깁니다.

비밀번호·관리자 계정

비밀번호 저장값을 들고 가 풀어낸 뒤, 같은 비밀번호를 쓰는 다른 서비스에 로그인합니다.

주문·결제 정보

주문 내역·결제 수단·배송지. 결제 모듈을 바꿔치기해 카드 정보를 가로채기도 합니다.

사업 문서·파일

견적·계약·내부 자료·업로드된 첨부파일. 경쟁사나 협박에 쓰입니다.

서버 열쇠

설정 파일 안의 DB 접속 정보·API 키·클라우드 키. 이 열쇠로 다른 시스템까지 들어갑니다.

내 방문자

홈페이지에 악성코드를 심어 방문자를 감염시키거나, 가짜 로그인·결제 화면으로 바꿔 놓습니다.

서버 자원

가상화폐 채굴·스팸 발송·다른 곳 공격의 발판. 서버가 느려지고 IP가 차단 목록에 오릅니다.

랜섬웨어

파일과 DB를 암호화하고 돈을 요구합니다. 서버 안의 백업까지 함께 잠급니다.

왜 이번 건은 특히 위험한가

흔적이 거의 없다

홈페이지 프로그램이 돌기 전, 엔진 단계에서 뚫립니다. 앱 로그·관리자 화면만 봐서는 모르고, 서버 안의 프로세스·새 파일·예약 작업·계정을 봐야 합니다.

버전을 숨겨도 소용없다

공격자는 숨긴 서버도 결국 찔러 봅니다. 밖에서 안 보이게 하는 건 방어가 아니고, 수정판으로 올리는 것만이 방어입니다.

패치만으로 끝나지 않는다

10/21 수정판 전에 노출됐던 서버라면 이미 웹셸이 심겼을 수 있습니다. 패치 뒤에 PHP 프로세스를 재시작하고, 침해 흔적을 따로 점검해야 합니다.

실제로 벌어진 일

발견부터 공격 모의까지 일주일이 걸리지 않았습니다.

  1. 공격 시도 관측Amazon 위협정보팀이 수정판 공개 전부터 실제 공격 시도를 포착
  2. 기술 정보 유출공식 발표 전에 결함의 세부 내용이 외부로 새어 나감
  3. PHP 수정판 공개8.5.12 · 8.4.27 · 8.3.36 · 8.2.35 — 8.1 이하는 수정판 없음
  4. 정부 사이버위기경보 「주의」과기정통부·KISA 기업 대응 수칙 배포
  5. 공격 모의 포착북한 연계 가능성이 제기된 한국어 사용 조직이 한국 포함 12개 지역·정부·금융·항만·공항을 표적으로 공격 계획 (CYFIRMA)
  6. 웹셸 심기 시도8시간 동안 17개 IP가 PHP 서버에 웹셸을 심으려 시도

순서는 세 줄, 함정은 줄마다 있습니다

「확인 → 올리기 → 점검」은 말로는 간단하지만, 실제로는 각 단계에서 사이트가 깨지거나 뒷문을 놓칩니다. 어디서 막히는지, 웹런이 무엇을 대신하는지 적었습니다.

  1. ① 확인
    직접 하면

    호스팅 관리자 화면이나 서버에서 PHP 버전을 봐야 합니다. 밖에서 보이는 버전만 믿고 「패치됨」으로 안심하기 쉽고, 버전을 숨긴 서버는 아예 모릅니다.

    함정

    수정판으로 올렸어도 PHP 프로세스를 재시작하지 않았거나, 10/21 이전에 이미 뒷문이 심겼다면 「패치됨」은 안전하다는 뜻이 아닙니다.

    웹런이 하면

    무료 1분 점검으로 영향권인지 보고, AI 상담이 호스팅·버전·징후를 물어 상황을 정리합니다. 무료

  2. ② 올리기
    직접 하면

    PHP를 올리면 옛 플러그인·테마·그누보드 4/5·직접 짠 코드가 멈추는 일이 흔합니다. 공유 호스팅은 패널에서만 바꿀 수 있고, 8.1 이하는 프로그램을 고치지 않으면 올릴 수 없습니다.

    함정

    「업데이트 버튼」을 눌렀다가 사이트가 하얗게 뜨면 영업이 멈추고, 되돌릴 백업이 없으면 복구에 더 큰 비용이 듭니다.

    웹런이 하면

    긴급 패치 대행 — 백업 → 수정판으로 올리기 → 프로세스 재시작 → 화면·결제·로그인 동작 확인까지 한 번에. 서버당 33만원~ · 8.1 이하는 업그레이드·재구축을 규모 보고 견적

  3. ③ 점검
    직접 하면

    이 공격은 홈페이지 프로그램 로그에 거의 남지 않아 무엇을 봐야 할지부터 막힙니다. 웹셸은 정상 파일 이름으로 숨고, 예약 작업·새 계정으로 다시 들어옵니다.

    함정

    흔적을 지우거나 서버를 밀어 버리면 증거가 사라져 개인정보 유출 신고·보험·분쟁에서 불리해집니다.

    웹런이 하면

    침해·웹셸 점검 — 프로세스·새 파일·크론·계정·변조 파일을 서버 안에서 확인하고 격리, 증거 보존, 보고서. 서버·사이트당 55만원~ · 패치+점검 묶음 77만원

내 사이트 무료 점검AI 상담으로 물어보기서비스·가격 보기

가격은 부가세 별도 안내 기준이며 서버 확인 후 확정 견적을 드립니다. 이 페이지는 공격 원리를 이해하기 위한 설명이며, 공격 방법이나 코드는 다루지 않습니다. 출처: PHP 보안 권고(2026-10-21) · 과기정통부·KISA 대응 수칙 · CYFIRMA 보고서(10/23) · Amazon Threat Intelligence. 운영 주식회사 센트리어 · 대표 최진백 · 웹런 webrun.kr ↗

AI 상담