PHP2Shell, PHP 치명적 취약점 악용에 각국 경보 발령! 워드프레스 기업 홈페이지 대안: 무료, 관리 걱정 없이, 더 빠르고 안전하게

2026년 10월 21일, PHP가 긴급 보안 업데이트를 내고 심각한 취약점 두 개, CVE-2026-109618과 CVE-2026-109619를 수정했습니다. 공격자는 로그인하지 않고도 요청 하나만 보내 서버에서 임의 코드를 실행할 수 있습니다.

취약점을 발견한 Wiz Research는 두 취약점을 엮어 익스플로잇 스크립트 PHP2Shell을 만들었고, 최신 버전 WordPress, Drupal, Joomla에서 로그인 없는 원격 코드 실행을 시연했습니다(Wiz).

워드프레스는 PHP 위에서 돌아갑니다. 이번 취약점은 PHP 자체에 있어서 워드프레스와 플러그인을 최신 버전으로 업데이트해도 막을 수 없습니다. 모든 워드프레스 기업 홈페이지가 대응해야 합니다.

PHP 치명적 취약점 CVE-2026-109618, CVE-2026-109619와 익스플로잇 도구 PHP2Shell, CVSS 9.2

PHP 취약점 CVE-2026-109618, CVE-2026-109619 개요

PHP 공식 보안 공지 기준:

항목	내용
번호	CVE-2026-109618, CVE-2026-109619
공식 명칭	RCE via OOM corruption, RCE via stale global state
점수	CVSS 4.0, 9.2점
결과	로그인 없는 원격 코드 실행(RCE)
영향 범위	웹 요청을 처리하는 모든 PHP: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed
위험 최고	Apache mod_php, 사이트 코드가 실행되기 전에 공격당함
수정 버전	PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35
공식 수정 없음	PHP 8.1 및 이전 버전

CVE-2026-109618: PHP가 메모리 부족(OOM) 상태가 되면 요청 데이터가 절반만 초기화된 지점에서 중단될 수 있고, 이후 요청을 정리할 때 잘못된 데이터를 유효한 데이터로 사용합니다.
CVE-2026-109619: 요청이 끝나 메모리가 해제된 뒤에도 일부 내부 상태가 남아, 같은 워커 프로세스가 다음 요청을 처리할 때 이 오래된 상태를 먼저 사용할 수 있습니다.

각국 경보 발령, 웹사이트 긴급 차단

아래 시각은 모두 2026년 10월 21일 기준입니다.

EU CERT-EU(NL Times), 영국 NCSC(Patchstack), 네덜란드 NCSC(Sansec), 일본 국가사이버통괄실과 IPA(Impress Watch)가 잇따라 경보를 내고 가능한 한 빨리 패치하라고 요구했습니다. EU, 영국, 일본은 제때 패치하지 못하면 웹사이트를 먼저 내리라고 권고했습니다.

공격은 이미 시작됐다

워드프레스 보안 기업 Patchstack의 실시간 기록:

UTC 07:34: 여러 호스팅 업체가 사이트 공격을 보고.
UTC 07:43: Cloudflare CTO가 초기 공격을 확인했으며 방화벽 규칙을 배포했다고 밝힘.
UTC 13:52: PHP가 수정 버전 배포.
UTC 13:57: Patchstack은 여전히 탐색성 공격만 확인했으며, 수정 세부 내용이 공개되면 늘어날 것으로 예상.

Wiz Research의 PHP2Shell 익스플로잇 도구가 워드프레스를 공격해 대상을 자동으로 식별하고 명령을 실행하는 모습

네덜란드 국가사이버보안센터(NCSC)는 당시 실제 공격은 아직 확인되지 않았다고 밝혔습니다. 지난번 사례를 보면, 2024년 6월 PHP 취약점 CVE-2024-4577이 공개된 뒤 Akamai는 24시간 안에 공격 시도를 확인했습니다(The Hacker News).

네덜란드·핀란드 정부 사이트 차단

네덜란드 하원(Tweede Kamer) 웹사이트가 일시 차단됐습니다. 축구 클럽 Fortuna Sittard, 경찰 노조 ACP, 네덜란드 왕립약사회 KNMP, 버스 회사 EBS의 사이트와 네덜란드 대학·연구기관이 함께 쓰는 IT 네트워크 일부도 중단됐습니다(NL Times).
네덜란드 NCSC 자체 웹사이트, IT 사이트 Tweakers, 보안 뉴스 사이트 Security.NL이 차단됐습니다(Sansec).
네덜란드 정부 본인 인증 시스템 DigiD와 정부 포털 MijnOverheid가 서비스를 중단했습니다(Patchstack).
핀란드 정부 IT 센터 Valtori는 핀란드 국토조사청, 헬싱키 엑스포·컨벤션 센터 등 여러 국가기관의 공개 웹사이트를 닫았습니다(Pasquale Pillitteri).

일본: 다카이치 총리 심야 호소, pixiv·DMM 등 긴급 점검

일본 시각 21:55, 다카이치 사나에 총리가 X에 글을 올렸습니다(Impress Watch 인용):

皆様に、今夜に対応して頂きたい大至急のお願いです。（中略）公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。

요지: 오늘 밤 웹사이트가 PHP를 쓰는지 확인하고, 일본 시각 23시에 패치가 나오면 최대한 빨리 적용해 달라, 제때 패치하기 어렵다면 웹사이트를 일시 중단하는 것도 방법이라는 내용입니다.

일본 국가사이버통괄실과 IPA도 경보를 냈고, 일부 지방자치단체는 시스템 일시 중단을 예고했습니다. 같은 기사에 나온 서비스:

온라인 쇼핑몰 플랫폼 BASE, 보육원 서비스 CoDMON(コドモン)이 오후부터 점검;
pixiv, DMM.com, niconico, 사쿠라 인터넷(さくらインターネット)의 일부 서비스가 긴급 점검, 20시 이후 많은 서비스가 중단;
「그랑블루 판타지」, 「우마무스메 프리티 더비」 등 게임 서비스 중단.

워드프레스 유지보수 모드로는 못 막는다

Sansec은 워드프레스와 Magento에 내장된 유지보수 모드는 소용없다고 지적했습니다. 프로그램이 유지보수 스위치를 확인하기 전에 PHP가 이미 요청을 파싱하기 때문입니다. 효과적인 방법은 PHP-FPM을 멈추고 웹 서버가 정적 점검 페이지를 직접 반환하게 하는 것입니다.

그래서 그날 밤 워드프레스 홈페이지에는 두 가지 길밖에 없었습니다. 누군가 서버에 로그인해 PHP를 업그레이드하거나, 사이트 전체를 내리거나. 관리하는 사람이 없는 사이트는 열어 둔 채 기다릴 수밖에 없었습니다.

워드프레스 기업 홈페이지가 가장 위험한 이유

PHP 수준의 취약점은 워드프레스 플러그인으로 막을 수 없습니다. mod_php에서는 사이트 코드가 실행되기 전에 공격이 일어나므로 보안 플러그인, 캡차, 관리자 페이지 숨기기 모두 소용없습니다. Sansec도 서버의 PHP를 업그레이드하는 수밖에 없고, 서버를 직접 관리하지 않으면 호스팅 업체를 재촉할 수밖에 없다고 말합니다.

많은 서버가 지원이 끝난 PHP를 쓰고 있습니다. 보안 기업 Mallory가 10월 20일 Shodan으로 집계한 결과, 공개 호스트 약 88.4만 대의 응답 헤더가 PHP 8.1 이하를 표시했고, 이는 버전 번호를 노출한 호스트(약 150만 대)의 59%입니다(응답 헤더 기준 집계이며 모두 영향을 받는다는 뜻은 아닙니다. The Hacker News 참고). 이 버전들은 공식 패치가 없어 호스팅 업체에 백포트 패치를 요청하거나 PHP를 업그레이드해야 하는데, 오래된 테마와 플러그인은 업그레이드하면 오류가 나기 일쑤입니다.

매년 돈이 듭니다. 호스팅 갱신, 유지보수 비용, 유료 플러그인 연간 요금, 사고가 나면 복구 비용까지. 회사 소개, 사업, 사례, 뉴스, 채용만 올리는 홈페이지가 PHP + MySQL을 계속 돌려야 하고, 10월 21일 같은 밤에는 누군가 서버를 지켜야 합니다.

제 해법: Astro + Cloudflare / GitHub / Vercel / Netlify

저는 2년 전부터 고객에게 워드프레스와 PHP를 권하지 않았고, 고객 사이트를 모두 Astro와 Cloudflare, GitHub, Vercel, Netlify 조합으로 옮겼습니다. 이 플랫폼들의 무료 플랜이면 기업 홈페이지에 충분하고, 호스팅 비용은 한 푼도 들지 않으며, 기존 워드프레스 홈페이지보다 더 빠르고, 더 안전하고, 관리도 편합니다.

이번 PHP 취약점에도 이 고객들의 사이트는 아무 조치가 필요 없었고, 그날 밤에도 평소처럼 접속됐습니다. 제 블로그 zhaojian.net도 같은 방식으로 만들었고, 12개 언어 버전을 제공합니다.

방법은 간단합니다:

Astro가 빌드할 때 모든 페이지를 생성하므로, 배포되는 건 HTML, CSS, JS, 이미지뿐입니다;
소스는 GitHub에 두고, 문구를 고치거나 뉴스를 추가한 뒤 커밋합니다;
Cloudflare Pages / Vercel / Netlify가 커밋을 받으면 자동으로 빌드·배포해 몇 분 만에 반영되고, 페이지는 전 세계 CDN에서 전송됩니다.

더 안전: 서버에 PHP, 데이터베이스, 관리자 로그인 페이지가 없으니 PHP2Shell 같은 익스플로잇 도구가 손댈 곳이 없습니다. 앞으로 PHP, 워드프레스, 플러그인에 취약점이 또 나와도 사이트와는 무관합니다.

더 빠름: 페이지가 이미 만들어진 파일이라 방문자와 가장 가까운 CDN 노드에서 바로 전송되므로, 일본, 중국, 유럽, 미주 어디서든 빠릅니다.

무료, 유지보수 불필요: 호스팅과 서버를 갱신할 필요 없이 도메인 비용만 남습니다. 로그인할 서버도, 업그레이드할 프로그램도 없습니다.

워드프레스와 Astro 정적 웹사이트 비교

	워드프레스 홈페이지	Astro 정적 웹사이트
실행되는 프로그램	PHP + MySQL + 테마 + 플러그인	없음, 정적 파일만
이번 PHP 취약점	영향 있음, 밤새 업그레이드하거나 사이트 차단	영향 없음
호스팅 비용	매년 호스팅 / 서버 갱신	무료
일상 유지보수	워드프레스, 플러그인, PHP 정기 업그레이드	불필요
접속 속도	서버 성능과 캐시 설정에 좌우	CDN에서 직접 전송
콘텐츠 업데이트	관리자 페이지에 로그인해 편집	커밋하면 자동 빌드·배포
다국어	다국어 플러그인에 의존	빌드 시 언어별 페이지 생성

온라인 쇼핑몰, 회원 로그인, 예약 시스템처럼 데이터를 실시간으로 읽고 쓰는 기능은 따로 설계해야 합니다. 문의 양식, 뉴스, 사례, 채용, 다국어 같은 홈페이지 필수 기능은 정적 웹사이트에 외부 폼 서비스를 더하면 모두 구현할 수 있습니다.

워드프레스에서 Astro로 이전하는 단계

페이지 정리: 모든 페이지, 글, 이미지, 양식을 목록으로 만듭니다.
콘텐츠 내보내기: 글과 페이지를 Markdown으로 내보내고 이미지도 함께 내려받습니다.
URL 유지: 기존 URL을 최대한 그대로 쓰고, 바뀐 URL은 301 리디렉션을 설정해 검색 순위 하락을 막습니다.
디자인 재작업: 기존 모습 그대로 복원하거나 새 디자인으로 바꾸고, 모바일에도 맞춥니다.
기능 대체: 양식은 외부 폼 서비스로, 방문 통계는 서버가 필요 없는 방식으로 바꿉니다.
도메인 전환: 문제없음을 확인한 뒤 도메인을 새 플랫폼으로 연결하고, 기존 서버는 만료되면 갱신하지 않습니다.

자주 묻는 질문

워드프레스 사이트도 PHP2Shell 공격을 받나요?

받습니다. 취약점은 PHP 자체에 있어서, 서버의 PHP가 8.5.12, 8.4.27, 8.3.36, 8.2.35이거나 호스팅 업체가 패치한 버전이 아니라면 워드프레스 버전과 상관없이 영향을 받습니다.

워드프레스 유지보수 모드를 켜면 막을 수 있나요?

아니요. 유지보수 모드가 적용되기 전에 PHP가 이미 요청을 처리합니다. PHP를 업그레이드하거나, PHP-FPM을 멈추고 정적 점검 페이지로 대체해야 합니다.

PHP 8.1 이하 버전은 어떻게 하나요?

PHP 공식 업데이트가 더 이상 없습니다. 호스팅 업체에 백포트 패치를 요청하거나 PHP 8.2 이상으로 업그레이드하세요. 테마와 플러그인이 호환되지 않는다면 정적 웹사이트로 바로 이전하는 것도 고려할 만합니다.

정적 웹사이트는 정말 무료인가요?

Cloudflare Pages, Vercel, Netlify, GitHub Pages의 무료 플랜으로 기업 홈페이지에 충분하며, 도메인 비용만 내면 됩니다.

워드프레스 홈페이지를 바꾸고 싶다면? 연락 주세요

이런 경우 연락 주세요:

기업 홈페이지가 워드프레스인데, 10월 21일 밤에 사이트를 내려야 할지, 누구에게 패치를 맡길지 몰랐던 경우;
서버가 아직 PHP 8.1 이하인 경우;
매년 호스팅, 서버 갱신에 유지보수 비용까지 내고 있는 경우;
처음 사이트를 만든 사람과 연락이 닿지 않아 관리하는 사람이 없는 경우;
일본이나 해외 시장을 겨냥해 일본어, 영어 등 다국어 홈페이지가 필요한 경우.

워드프레스 기업 홈페이지를 Astro 정적 웹사이트로 이전해 드립니다: 더 빠르고 더 안전하며, 매년 호스팅과 서버를 갱신할 필요 없고, 커밋하면 자동으로 빌드·배포되어 유지보수 인력을 따로 둘 필요가 없습니다.

소개 페이지에 있는 WeChat(757118) 또는 X(@zhaoJianNet)로 웹사이트 주소와 요구 사항을 보내 주시면 구체적인 이전 방안을 드리겠습니다.