시놀로지와 큐냅 NAS, PHP 취약점(PHP2Shell) 대응 방법

MacWindows업데이트

시놀로지(Synology)와 큐냅(QNAP)은 하루 전 발표된 PHP의 심각한 취약점 PHP2Shell에 대해 2026년 10월 22일 각각 보안 권고를 냈습니다. 2026년 10월 23일 기준으로 시놀로지의 수정 버전은 패키지 센터에 나와 있습니다. 큐냅은 아직입니다. 큐냅 권고문은 수정 버전을 "To be announced"(추후 발표)로 표시하고, 그때까지 NAS를 인터넷에서 떼어 놓는 방법을 안내합니다.

간단한 답변

시놀로지 사용자는 패키지 센터에서 설치됨을 누르고 모든 패키지를 업데이트하세요. 특히 PHP 패키지, Synology Calendar, Mail Station입니다. 시놀로지는 DSM에 내장된 PHP의 위험을 매우 낮게 봅니다. 큐냅 사용자는 2026년 10월 23일 기준 수정 버전이 없으므로 포트 포워딩과 UPnP를 끄고, 원격 접속은 VPN으로 하세요.

내 시놀로지 NAS도 PHP2Shell 영향을 받나요?

무엇을 설치했는지에 따라 다릅니다. 시놀로지가 2026년 10월 22일 발표한 보안 권고 Synology-SA-26:14는 심각도를 Critical(치명적), 상태를 Resolved(해결됨)로 표시합니다. 권고문은 DSM의 특정 패키지 중 취약한 버전을 통해 원격 공격자가 코드를 실행할 수 있다고 설명합니다. 또 운영체제에 내장된 PHP는 외부 공격 경로에 노출되어 있지 않아 악용 위험이 매우 낮다고 봅니다.

즉 시놀로지가 말하는 위험은 DSM 자체가 아니라 패키지 센터에서 추가한 패키지에 있습니다. 2026년 10월 23일 기준 권고문이 밝힌 수정 버전은 다음과 같습니다.

  1. Synology Calendar 3.0.4-21435 이상
  2. Mail Station 30000002.3.19-20333 이상
  3. PHP 7.4: 7.4.33-0131 이상
  4. PHP 8.0: 8.0.30-0122 이상
  5. PHP 8.1: 8.1.34-0120 이상
  6. PHP 8.2: 8.2.35-0171 이상
  7. PHP 8.3: 8.3.36-0051 이상
  8. PHP 8.4: 8.4.27-0051 이상

시놀로지는 PHP 7.3 패키지는 지원 종료(EOL)된 버전이라 수정 버전을 제공하지 않는다고 밝혔습니다.

시놀로지 NAS에서 패키지를 업데이트하려면?

시놀로지 지식 센터의 패키지 관리 도움말은 패키지를 항상 최신 상태로 유지하는 것이 Synology NAS를 정상 상태로 유지하는 최선의 방법이라고 설명합니다. 업데이트는 설치됨 목록에서 합니다.

  1. 웹 브라우저로 DSM에 로그인하고 패키지 센터를 엽니다.
  2. 왼쪽 패널에서 설치됨을 누릅니다. 업데이트할 수 있는 패키지가 여기에 표시됩니다.
  3. 각 패키지의 업데이트 버튼을 누르거나, 모두 업데이트를 눌러 한 번에 업데이트합니다.
  4. 위 목록과 버전 번호를 비교합니다. 특히 PHP 패키지를 확인하세요.
  5. 앞으로 업데이트를 받는 방식은 패키지 센터의 설정 > 자동 업데이트에서 정할 수 있습니다.
  6. 업데이트가 있을 때 알림을 받으려면 설정 > 일반 > 알림에서 확인란을 선택하고 확인을 누릅니다.

시놀로지 NAS에 PHP가 꼭 필요한가요?

DSM에는 자체 내장 PHP가 있고, 시놀로지는 그 위험을 매우 낮게 봅니다. PHP 7.4부터 8.4까지의 패키지는 이와 별개입니다. 내가 직접, 또는 내가 설치한 다른 패키지가 추가했다면 패키지 센터의 설치됨 목록에 나타납니다.

  1. 패키지 센터를 열고 설치됨을 누릅니다.
  2. PHP 뒤에 버전 번호가 붙은 이름의 패키지를 찾습니다.
  3. Web Station으로 웹사이트를 운영한다면, 시놀로지의 PHP 지원 종료 공지는 Web Station 설정에서 PHP 프로필을 PHP 8.1 또는 8.2로 바꾸라고 안내합니다. PHP 7.3, 7.4, 8.0을 쓰는 사이트가 대상입니다.
  4. 설치된 PHP 패키지를 모두 수정 버전으로 업데이트합니다.

패키지 센터에서는 패키지를 제거할 수도 있습니다. 설치된 패키지를 누르고 드롭다운 메뉴에서 제거를 선택하면 됩니다. 더 이상 쓰지 않는 기능 때문에 PHP 패키지를 설치했다면 제거도 방법이지만, 다른 패키지가 그 PHP를 쓰고 있지 않은지 먼저 확인하세요.

내 큐냅 NAS도 영향을 받나요?

영향받는 버전이라면 그렇습니다. 큐냅이 2026년 10월 22일 발표한 보안 권고 QSA-26-18은 심각도를 Critical로 표시하고, 영향받는 제품으로 다음을 포함합니다. 2026년 10월 23일 기준 모두 상태가 "Fixing"(수정 중)이고 수정 버전은 "To be announced"입니다.

  1. QTS 6.1.0, 그리고 QTS 5.2.11 이하
  2. QuTS hero h6.1.0, h6.0.x, 그리고 h5.2.11 이하
  3. QuTScloud c5.2.9 이하
  4. Note Station 3 버전 3.9.14 이하

권고문은 QNE(ADRA) 1.0.7 이하, ARM32 모델의 QVR Surveillance 3.0.3 이하, TVR OS 1.0.4 이하, QuMagie 2.10.1 이하도 함께 적고 있습니다. 2026년 10월 23일 기준으로 큐냅은 PHP를 노린 악용 시도가 공개적으로 보고되었지만, 큐냅 제품을 겨냥한 악용 보고는 받지 않았다고 밝혔습니다. 수정 버전이 나오면 권고문 내용이 바뀔 수 있으니 이 목록에 기대기 전에 페이지를 다시 확인하세요.

수정 버전이 나올 때까지 큐냅 NAS는 어떻게 하나요?

큐냅은 수정 버전이 나올 때까지 가장 효과적인 보호는 기기를 인터넷에 노출하지 않는 것이라고 말합니다. 다음 단계는 노출을 줄여 주지만 취약점을 완전히 고치지는 않습니다.

  1. 공유기에서 NAS로 가는 포트 포워딩을 끄고, 공유기의 UPnP도 끕니다.
  2. NAS에서 myQNAPcloud > Auto Router Configuration으로 가서 UPnP 포트 포워딩을 끕니다.
  3. 필요 없다면 myQNAPcloud Link를 끄고, myQNAPcloud > Publish Services에서 서비스 게시를 해제합니다.
  4. 집 밖에서 접속할 때는 웹 포트를 여는 대신 QVPN Service나 공유기의 VPN으로 연결합니다.
  5. QuFirewall, 또는 QuFirewall이 없다면 Control Panel > System > Security > Allow/Deny List에서 관리 포트(기본값 8080과 443)를 신뢰하는 네트워크나 VPN 주소에서만 허용합니다.
  6. App Center에서 지금 필요하지 않은 영향받는 앱을 중지합니다. 제거하기 전에는 설정과 데이터를 백업하세요.
  7. 내장 웹 서버를 쓰지 않는다면 Control Panel > Applications > Web Server에서 끕니다.

큐냅은 앱을 중지하거나 웹 서버를 꺼도 NAS 자체의 웹 관리 화면은 보호되지 않으며, 인터넷 노출 차단과 VPN 사용과 관리 포트 제한(여기서는 1에서 5단계)이 주된 보호 수단이라고 말합니다. 메뉴 이름은 큐냅 권고문의 영어 표기를 그대로 옮겼으니, 한국어 화면에서는 이름이 다르게 보일 수 있습니다.

이미 침해되었을지도 모른다면?

큐냅은 자사 기기를 위한 단계를 따로 안내합니다. KISA(한국인터넷진흥원)는 업데이트한 뒤 서버 기록을 점검하라고 권고합니다. 업데이트는 구멍을 막을 뿐, 공격자가 이미 설치한 것을 지우지는 않습니다.

  1. 큐냅이라면 QuLog Center에서 모르는 로그인이나 접근이 있는지 봅니다.
  2. Security Center와 Malware Remover를 최신 정의로 실행합니다.
  3. 침해가 의심되면 큐냅은 기기의 네트워크 연결을 끊고, 모든 비밀번호를 바꾸고, QNAP 고객 지원에 연락하라고 합니다.

혼자 판단하기 어렵다면 국번 없이 118에서 해킹 관련 상담을 받을 수 있습니다.

자주 묻는 질문

DSM을 업데이트하면 시놀로지의 PHP2Shell이 해결되나요?

2026년 10월 23일 기준 시놀로지 권고문은 DSM 업데이트가 아니라 수정된 패키지 버전을 안내합니다. DSM 내장 PHP의 위험은 매우 낮다고 봅니다. 해결 방법은 패키지 센터에서 패키지를 업데이트하는 것입니다.

큐냅 수정 버전은 언제 나오나요?

큐냅은 날짜를 밝히지 않았습니다. 2026년 10월 23일 기준 아직 첫 버전인 권고문은 영향받는 모든 제품을 "Fixing", 수정 버전을 "To be announced"로 표시합니다. 날짜와 버전이 바뀔 수 있으니 QSA-26-18을 다시 확인하세요.

도커나 Container Station 안의 PHP도 업데이트되나요?

큐냅 업데이트로는 되지 않습니다. 큐냅은 Container Station 컨테이너나 타사 앱 안의 PHP는 큐냅 업데이트 대상이 아니라며, 이미지나 앱 제공자에게 수정 버전을 문의하라고 안내합니다. 시놀로지 권고문은 컨테이너를 언급하지 않습니다. KISA도 외부에서 받아 쓰는 컨테이너 이미지(도커 등)를 따로 확인하라고 권고합니다.

인터넷에 연결하지 않은 NAS도 위험한가요?

큐냅은 수정 버전이 나오기 전까지 기기를 인터넷에 노출하지 않는 것이 가장 효과적인 보호라고 말합니다. 동시에 신뢰하는 네트워크로 접근을 제한해도 이미 침해된 집 안의 다른 기기로부터의 공격은 막지 못한다고 덧붙입니다.

PHP2Shell은 무엇인가요?

2026년 10월 21일 발표된 PHP의 심각한 취약점 두 가지, CVE-2026-109618과 CVE-2026-109619를 부르는 이름입니다. 취약점과 PHP 수정 버전은 PHP2Shell 해설에서 설명합니다.

출처