PHP2Shell, 내 맥도 영향을 받을까? PHP 설치 여부 확인 방법

Mac업데이트

PHP2Shell이 내 맥과 관련 있는 것은 맥에 PHP가 설치되어 있을 때뿐입니다. PHP 매뉴얼에 따르면 PHP는 macOS 12 Monterey부터 macOS에 포함되지 않습니다. 직접, 또는 설치한 도구가 추가하지 않았다면 대부분의 맥에는 PHP가 없습니다. 터미널에서 1분이면 확인할 수 있습니다. 이 글은 2026년 10월 23일 기준 정보입니다.

간단한 답변

PHP 개발팀의 2026년 10월 21일 권고문은 웹 요청을 처리하는 PHP의 심각한 취약점 두 가지(CVE-2026-109618, CVE-2026-109619)를 다룹니다. PHP 매뉴얼에 따르면 macOS 12 Monterey부터는 PHP가 들어 있지 않습니다. 터미널을 열고 php -v를 입력하세요. 버전이 나오면 설치했던 방법 그대로 수정 버전으로 업데이트하면 됩니다.

macOS에는 PHP가 기본으로 들어 있나요?

최근 버전에는 없습니다. PHP 매뉴얼은 PHP가 macOS 10과 11에는 함께 제공되었지만 macOS 12 Monterey부터는 포함되지 않으며, 최근 버전에 설치하려면 서드파티 패키지를 쓰거나 소스에서 직접 컴파일해야 한다고 설명합니다.

저희가 확인한 Apple의 릴리스 노트에는 PHP에 대한 언급이 없습니다. macOS Catalina 10.15 릴리스 노트는 Python, Ruby, Perl 같은 스크립트 언어 런타임이 호환성을 위해 포함되었고 앞으로의 버전에는 기본으로 포함되지 않을 것이라고만 적고 있습니다. 그래서 여기서는 PHP 매뉴얼을 근거로 삼고, 내 맥에서 직접 확인하는 것이 가장 확실합니다.

내 맥에 PHP가 설치되어 있는지 확인하려면?

PHP 매뉴얼이 설명하는 대로 터미널을 씁니다. 매뉴얼의 명령줄 문서에 따르면 셸에서 php -v를 입력하면 PHP 버전과 함께 CLI 버전인지 CGI 버전인지 알 수 있습니다. 버전 번호가 나오면 PHP가 설치된 것이므로 수정 버전과 비교하면 됩니다.

  1. Finder에서 /응용 프로그램/유틸리티 폴더를 연 다음 터미널을 두 번 클릭합니다. Apple의 터미널 사용 설명서에 나오는 방법입니다.
  2. php -v를 입력하고 Return 키를 누릅니다.
  3. 첫 줄을 봅니다. "PHP"와 버전 번호로 시작합니다.
  4. 그 번호를 PHP 버전 확인 방법에 있는 계열별 수정 버전 표와 비교합니다. 같은 계열에서 수정 버전보다 낮으면 업데이트가 필요합니다. PHP 8.1 이하는 PHP 개발팀의 업데이트를 더 이상 받지 못합니다.

어떤 사람의 맥에 PHP가 있나요?

주로 웹사이트를 만들거나 테스트하는 사람입니다. PHP 매뉴얼의 macOS 문서는 두 가지 방법을 소개합니다. 서드파티 패키지를 설치하거나 PHP를 소스에서 컴파일하는 방법입니다. 쉬운 방법으로 Homebrew(brew install php)를 들고, MacPorts와 Fink도 대안으로 소개합니다.

다음에 해당한다면 PHP가 있을 수 있습니다.

  • 맥에서 PHP 웹사이트를 만들거나 테스트하려고 PHP를 설치했다
  • 자체 PHP를 함께 담은 로컬 서버 도구를 설치했다. KISA(한국인터넷진흥원)는 PHP가 내장된 장비와 솔루션도 따로 확인하라고 권고합니다
  • PHP 내장 웹 서버(php -S)를 써 본 적이 있다. PHP 매뉴얼은 이 서버가 애플리케이션 개발을 돕기 위한 것이고, 실제 서비스용이 아니며, 공용 네트워크에서 쓰면 안 된다고 설명합니다

어디에도 해당하지 않는 것 같아도 php -v로 확실히 확인할 수 있습니다.

맥에 있는 PHP가 실제로 위험한가요?

쓰는 방식에 따라 다릅니다. PHP 권고문은 위험한 대상을 웹 요청을 처리하는 모든 PHP 설치라고 하며 PHP-FPM, Apache의 mod_php, php-cgi, FrankenPHP, LiteSpeed를 듭니다. 위험이 가장 높은 것은 mod_php로, 인증되지 않은 요청이 애플리케이션 코드가 실행되기도 전에 공격을 일으킬 수 있는 실제 공격 방법이 확인되었다고 말합니다.

권고문은 명령줄에서만 쓰는 PHP에 대해서는 아무 말도 하지 않으므로, 그런 사용이 안전하다고 말씀드릴 수는 없습니다. KISA는 PHP를 사용하는 기업에 수정 버전으로 업데이트하라고 권고합니다. 맥에서도 업데이트가 가장 간단한 답입니다.

악용에 대해서는 2026년 10월 23일 기준으로, 미국 CISA가 10월 21일 경보(10월 23일 개정)에서 발표 시점 기준으로 이 취약점들이 실제 환경에서 성공적으로 악용된 것을 관찰하지 못했다고 밝혔습니다.

맥의 PHP를 업데이트하려면?

설치했던 방법 그대로 업데이트합니다. PHP 권고문은 수정 버전으로 업데이트하라고 하며, 소스 코드는 php.net의 다운로드 페이지에 있다고 안내합니다. 패키지 관리자로 설치했다면 그 패키지 관리자로 업데이트합니다. 로컬 서버 앱에 들어 있던 PHP라면 앱을 업데이트하거나, 수정된 PHP가 들어간 릴리스가 있는지 제작사 사이트에서 확인하세요.

설정 변경은 해결책이 아닙니다. 권고문은 소개하는 조치들이 특정 공격 경로에 대한 노출을 줄일 뿐 설치를 안전하게 만들지는 않는다고 말합니다.

PHP 8.1 이하를 쓰고 있다면, PHP 개발팀은 이 버전들을 더 이상 업데이트하지 않으며 지원되는 버전으로 업그레이드하라고 권합니다. PHP 보안팀은 7.4, 8.0, 8.1용 최소한의 소스 패치를 내놓았지만, 이는 PHP를 소스에서 빌드하는 사람을 위한 것입니다.

업데이트한 뒤에는 php -v를 다시 실행해 버전 번호가 바뀌었는지 확인하세요.

맥으로 웹사이트를 보면 PHP가 실행되나요?

아닙니다. PHP 매뉴얼에 따르면 PHP 코드는 서버에서 실행되고, 서버가 그 결과로 만든 HTML을 브라우저에 보냅니다. 브라우저는 결과만 받을 뿐 PHP 코드를 보지 못합니다. 그래서 PHP로 만든 사이트를 봐도 맥에서 PHP가 실행되지 않으며, PHP2Shell은 그 사이트 서버의 문제이지 내 노트북의 문제가 아닙니다.

다만 해킹된 웹사이트는 가짜 로그인 페이지나 유해한 다운로드처럼 다른 방식으로 방문자에게 위험할 수 있습니다. 이 부분은 해킹된 사이트에 접속만 해도 감염될까에서 다룹니다.

Failshot에 대해

Failshot은 Mac을 위한 두 번째 보안 계층(second layer device security)입니다. 비밀번호가 첫 번째 계층이고, Failshot은 그다음 계층입니다. 내가 자리를 비운 사이 누군가 그 비밀번호로 Mac의 잠금을 해제하는 경우를 위한 것입니다.

Failshot이 켜져 있으면 Mac의 잠금을 해제한 사람의 사진을 찍고, Pro에서는 이어서 5초 동영상도 녹화합니다. Failshot 창은 잠금을 해제한 사람에게 그 잠금 해제가 촬영되었다고 알립니다. Pro에서 이메일 알림을 켜면, 내가 본인이라고 확인하지 않은 잠금 해제, 잘못 입력한 Failshot PIN이나 답변, Failshot이 켜져 있는 동안 카메라 접근 권한이 꺼진 경우에 Failshot이 이메일을 보냅니다. Failshot을 끄거나 메뉴에서 종료하려면 Touch ID 또는 Failshot PIN과 답변이 필요하며, Mac 암호로는 할 수 없습니다.

Failshot은 macOS 14 이상의 Mac에서 무료로 다운로드할 수 있습니다. 무료로 사용할 수 있습니다. Pro는 동영상, 이메일 알림, 암호화된 보관함을 더합니다. failshot.app에서 Failshot Pro를 7일 동안 무료로 써 볼 수 있습니다. 가입할 때 카드를 등록하며, 해지하지 않으면 8일째에 요금이 청구됩니다. iPhone, Android, Windows 버전은 출시 예정입니다. 앱은 영어로만 제공됩니다.

자주 묻는 질문

macOS를 업데이트하면 PHP도 업데이트되나요?

PHP 매뉴얼에 따르면 macOS 12 Monterey부터는 PHP가 포함되지 않으므로, 이런 버전에 있는 PHP는 따로 설치한 것이고 설치한 방법으로 업데이트해야 합니다. macOS 업데이트는 꾸준히 하되, 패키지 관리자나 로컬 서버 앱의 PHP까지 업데이트된다고 생각하지는 마세요.

macOS Big Sur 이전 버전의 맥에는 PHP가 있나요?

있을 수 있습니다. PHP 매뉴얼은 PHP가 macOS 10과 11에 함께 제공되었다고 말합니다. 터미널에서 php -v를 실행해 버전이 나오는지 보고, 나오면 위 단계대로 수정 버전과 비교하세요.

10월 21일 이후에 다른 PHP 문제도 나왔나요?

네. PHP 개발팀은 10월 23일에 별도의, 훨씬 일어나기 어려운 문제인 CVE-2026-115560에 대한 정보를 냈습니다. PHP2Shell 해설에서 다룹니다.

출처