|
|
 
| 제목 |
[긴급공지] 서버호스팅 - PHP 긴급 보안 취약점(php2shell) 조치 권고 안내 |
조회수 |
75건 |
안녕하세요. 엔에이치엔호스팅 입니다.
최근 PHP 언어 자체에서 로그인 없이 서버를 장악할 수 있는 심각한 보안 취약점이 발견되었습니다.
서버호스팅 서버는 고객님께서 직접 관리하시는 서버로, 당사에서 PHP 업데이트나 설정 변경을 대신 적용하지 않습니다.
PHP를 사용 중인 고객님께서는 아래 권고에 따라 빠르게 조치해 주시기 바랍니다.
1취약점 개요
| 취약점명 | php2shell (CVE-2026-109618, CVE-2026-109619) |
|---|
| 위험도 | 긴급 (CVSS 9.2) |
|---|
| 내용 | 공격자가 로그인 없이 원격으로 서버에서 임의의 코드를 실행할 수 있는 취약점 |
|---|
| 영향 범위 | 특정 프로그램이 아닌 PHP 자체의 문제로, WordPress·그누보드·XE·Laravel 등
PHP로 운영되는 모든 웹사이트가 영향을 받을 수 있습니다.
PHP-FPM, Apache(mod_php) 등 웹 요청을 처리하는 모든 PHP 실행 방식이 해당됩니다. |
|---|
2대상
| 대상 | 서버호스팅 서버에서 PHP를 사용하시는 고객 |
|---|
| 확인 방법 | 서버에서 php -v 명령으로 PHP 사용 여부와 버전을 확인하실 수 있습니다.
웹서버가 사용하는 PHP 버전이 다를 수 있으니 phpinfo() 페이지로도 함께 확인해 주세요. |
|---|
3권고 조치
| 1 | PHP 보안 업데이트 적용 (근본 조치)
PHP 8.2 ~ 8.5 버전은 보안 패치 버전으로 업데이트해 주세요.
8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 이상
OS 패키지(yum, dnf, apt)로 PHP를 설치하셨다면 사용 중인 OS 배포판의 보안 업데이트를 적용해 주세요.
업데이트 후에는 PHP-FPM 또는 Apache를 반드시 재시작해야 적용됩니다. |
| 2 | PHP 8.1 이하 버전은 버전 업그레이드
PHP 5.x, 7.x, 8.0, 8.1은 공식 지원이 종료되어 보안 패치가 제공되지 않습니다.
PHP 8.2 이상으로 업그레이드하시고, 즉시 업그레이드가 어려우면 아래 임시 조치를 적용하신 뒤
방화벽 등으로 외부 접근을 제한해 주세요. |
| 3 | 즉시 업데이트가 어려운 경우 임시 조치 적용
아래 설정을 php.ini(PHP-FPM 사용 시 풀 설정에 php_admin_value로 지정)에 적용한 뒤
PHP-FPM 또는 Apache를 재시작해 주세요. 임시 조치는 공격 가능성을 낮출 뿐 완전한 보호가 되지 않으므로,
보안 업데이트를 반드시 함께 진행해 주세요. |
임시 조치 권장 설정
| 설정 | 권장값 | 적용 시 영향 |
|---|
max_input_nesting_level | 32 |
폼 입력값의 배열 중첩 단계 제한. 일반 사이트는 영향이 거의 없으며,
매우 복잡한 폼에서 깊은 단계의 값이 저장되지 않을 수 있습니다. |
max_input_vars | 1000 |
한 번에 전송하는 입력 항목이 1,000개를 넘으면 초과분이 저장되지 않습니다.
(예: 쇼핑몰 상품 옵션 대량 저장, WordPress 메뉴 저장, 관리자 일괄 수정) |
max_file_uploads | 10 |
한 번에 여러 파일을 올릴 때 11번째 파일부터 업로드되지 않습니다. |
post_max_size | 8M |
8MB를 넘는 파일 업로드나 첨부 게시글 등록이 실패합니다.
(전송 내용이 저장되지 않음) |
session.upload_progress.enabled | 0 |
세션 방식의 업로드 진행률 표시 기능이 동작하지 않습니다.
일반 파일 업로드는 정상 동작합니다. |
추가 임시 조치 (서버 환경에 맞게 검토)
PHP-FPM의 pm.max_requests를 낮은 값(예: 50)으로 설정하면 워커가 자주 교체되어 공격 지속을 줄일 수 있습니다.
PHP 8.5 사용 시 fatal_error_backtraces = 0을 설정해 주세요.
PHP 공식 권고에는 memory_limit = -1도 포함되어 있으나, 메모리 제한이 사라져 서버 전체 메모리가 고갈될 수 있으므로
서버 메모리 상한(cgroup 등)을 함께 설정할 수 있는 경우에만 적용을 검토해 주세요.
4침해 여부 점검
웹 디렉터리 점검
본인이 올리지 않은 PHP 파일이 생겼거나 웹사이트 내용이 변조되었는지 확인해 주세요.
프로세스 및 예약 작업 점검
PHP 프로세스(php-fpm, httpd, apache2)가 셸이나 다운로드 도구를 실행한 흔적,
새로 생긴 cron 작업이나 계정이 없는지 확인해 주세요.
고객 관리 서버 안내
서버호스팅 서버는 고객님께서 직접 관리하시는 서버로, 당사에서 보안 업데이트나 설정 변경을 대신 적용하지 않습니다.
조치가 지연될 경우 서버 침해로 이어질 수 있으니 빠르게 조치해 주시기 바랍니다.
고객님의 소중한 서비스를 안전하게 운영하실 수 있도록 빠른 조치를 부탁드리며관련되어 문의사항이 있으신 경우 1:1 문의를 통해 남겨주시면 답변 드리도록 하겠습니다.
감사합니다.
|
|
