PHP2Shell, 내 스마트폰도 영향을 받을까? 아이폰과 안드로이드의 경우

iPhoneAndroid업데이트

PHP 개발팀의 2026년 10월 21일 권고문은 위험한 대상을 웹 요청을 처리하는 모든 PHP 설치, 즉 서버 소프트웨어라고 밝힙니다. 휴대전화나 태블릿, 브라우저는 언급하지 않습니다. 아이폰이나 안드로이드폰으로 웹사이트를 본다고 그 사이트의 PHP가 휴대전화에서 실행되지는 않습니다. 다만 해킹된 사이트는 다른 방식으로 문제를 일으킬 수 있습니다.

간단한 답변

PHP2Shell은 PHP의 심각한 취약점 두 가지, CVE-2026-109618과 CVE-2026-109619를 부르는 이름입니다. PHP 권고문은 웹 요청을 처리하는 PHP 설치가 위험하다고 하고, PHP 매뉴얼은 PHP 코드가 서버에서 실행된다고 설명합니다. 휴대전화는 완성된 페이지를 받을 뿐입니다. 그래도 iOS나 Android는 최신으로 유지하고, 낯선 사이트의 다운로드와 로그인은 조심하세요.

PHP 권고문은 무엇이 영향을 받는다고 하나요?

웹 요청에 답하려고 PHP를 실행하는 서버입니다. 권고문은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35가 인증되지 않은 원격 코드 실행을 일으킬 수 있는 심각한 취약점 두 가지를 고친다고 말합니다. 위험 대상으로는 웹 요청을 처리하는 모든 PHP 설치를 들며 PHP-FPM, Apache의 mod_php, php-cgi, FrankenPHP, LiteSpeed를 꼽고, mod_php의 위험을 가장 높게 봅니다.

모두 웹사이트 뒤에서 PHP를 돌리는 방식입니다. KISA(한국인터넷진흥원)의 대응 수칙도 PHP를 사용하는 기업을 대상으로, 운영 중인 PHP를 확인하고 업데이트하고 로그를 점검하라고 권고합니다. 취약점 자체와 10월 23일 PHP 개발팀이 따로 알린, 훨씬 일어나기 어려운 문제는 PHP2Shell 해설에서 다룹니다.

휴대전화로 웹사이트를 보면 왜 PHP가 실행되지 않나요?

PHP가 일하는 곳 때문입니다. PHP 매뉴얼은 클라이언트 쪽 자바스크립트와 달리 PHP 코드는 서버에서 실행되고, 서버가 만든 HTML이 클라이언트로 보내진다고 설명합니다.

휴대전화의 브라우저가 그 클라이언트입니다. 브라우저는 HTML을 받을 뿐 그것을 만든 PHP는 받지 않으므로, PHP2Shell을 고치는 것은 사이트 운영자의 일입니다.

권고문은 iOS나 Android를 언급하지 않으며, 이 글도 두 운영체제 안에 어떤 소프트웨어가 들어 있는지 주장하지 않습니다. 출처가 뒷받침하는 내용은 더 좁습니다. 권고문은 웹 요청을 처리하는 PHP에 관한 것이고, 웹 페이지를 읽는 휴대전화는 받는 쪽에 있습니다.

해킹된 웹사이트가 그래도 휴대전화에 문제를 일으킬 수 있나요?

다른 방식으로는 그럴 수 있고, 휴대전화에 관련된 점이 하나 있습니다. Google은 검색 스팸 정책의 해킹된 콘텐츠 항목에서 해커가 악성 코드를 삽입해 일부 사용자를 유해한 페이지나 스팸 페이지로 리디렉션할 수 있으며, 리디렉션의 유형은 리퍼러나 사용자 에이전트, 기기에 따라 달라질 수 있다고 설명합니다. 그래서 해킹된 사이트가 노트북과 휴대전화에서 다르게 보일 수 있습니다.

해킹된 사이트가 할 수 있는 일, 브라우저 경고, 이미 비밀번호를 입력했을 때 할 일은 해킹된 사이트에 접속만 해도 감염될까에서 다룹니다. 이용하는 서비스의 계정이 걱정된다면 PHP 취약점과 내 개인정보를 보세요.

아이폰은 어떻게 업데이트하나요?

Apple은 소프트웨어를 최신 상태로 유지하는 것이 Apple 제품의 보안을 유지하기 위해 반드시 해야 할 일 가운데 하나라고 말합니다. PHP2Shell을 고치는 일은 아니지만, 영국 국가사이버보안센터(NCSC)도 권하는 기본 습관입니다.

  1. iCloud나 컴퓨터로 아이폰을 백업합니다.
  2. 전원에 연결하고 Wi-Fi로 인터넷에 연결합니다.
  3. 설정 > 일반 > 소프트웨어 업데이트로 갑니다.
  4. 업데이트가 있으면 다운로드 및 설치를 탭하고 화면의 안내를 따릅니다.

업데이트가 저절로 설치되게 하려면 설정 > 일반 > 소프트웨어 업데이트 > 자동 업데이트에서 자동 설치를 켭니다. Apple은 이렇게 하면 아이폰이 충전 중이고 Wi-Fi에 연결된 동안 밤새 업데이트가 다운로드되고 설치되며, 설치 전에 알림이 표시된다고 설명합니다.

안드로이드폰은 어떻게 업데이트하나요?

버전을 확인하려면 설정 앱을 열고 휴대전화 정보 > Android 버전을 탭합니다. Android 버전, Android 보안 업데이트, Google Play 시스템 업데이트, 빌드 번호를 볼 수 있습니다.

  1. Wi-Fi에 연결하고 휴대전화를 충전합니다. 업데이트는 용량이 클 수 있어 Google은 75% 이상 충전하라고 안내합니다.
  2. 설정 > 시스템 > 소프트웨어 업데이트로 갑니다.
  3. 업데이트 상태를 확인하고 화면에 표시된 안내를 따릅니다.

Google은 업데이트 일정이 기기, 제조업체, 이동통신사에 따라 다르다고 설명하므로, 픽셀이 아닌 휴대전화에서는 메뉴가 조금 다를 수 있습니다.

앱은 어디서 받는 게 좋나요?

공식 스토어에서 받고, 그 앱들도 최신으로 유지하세요. NCSC는 앱과 기기 소프트웨어의 업데이트가 나오면 바로 적용하라고 권합니다.

아이폰은 App Store에서 앱을 받습니다. Apple은 App Store의 모든 앱이 알려진 악성코드에 대한 검사를 자동으로 거친다고 설명합니다. 안드로이드에서는 Google Play 프로텍트가 앱과 기기에 위험한 동작이 있는지 확인하고, Play 스토어에서 앱을 다운로드하기 전에 안전 확인을 실행합니다. 켜져 있는지 보려면 Play 스토어 앱을 열고 오른쪽 상단의 프로필 아이콘을 탭한 다음 Play 프로텍트 > 설정으로 가서, Play 프로텍트로 앱 검사가 켜져 있는지 확인하세요.

Failshot에 대해

휴대전화 업데이트는 위의 단계가 맡습니다. Failshot은 다른 순간, 누군가 내 Mac 앞에 앉아 잠금을 해제하는 순간을 위한 Mac 앱이며, iPhone과 Android 버전은 출시 예정입니다.

Mac에서 Failshot은 두 번째 보안 계층(second layer device security)입니다. 암호가 첫 번째 계층이고, Failshot은 그다음 계층입니다. Failshot이 켜져 있으면 Mac의 잠금을 해제한 사람의 사진을 찍고, Pro에서는 이어서 5초 동영상도 녹화합니다. 잠금을 해제한 사람은 Failshot 창에서 그 잠금 해제가 촬영되었다는 안내를 보게 됩니다. Failshot을 끄거나 메뉴에서 종료할 때는 Touch ID 또는 Failshot PIN과 답변을 쓰며, Mac 암호로는 끌 수 없습니다.

Mac 앱은 failshot.app에서 macOS 14 이상용으로 무료로 다운로드할 수 있습니다. 무료로 사용할 수 있습니다. Pro는 동영상, 이메일 알림, 암호화된 보관함을 더합니다. failshot.app에서 Failshot Pro를 7일 동안 무료로 써 볼 수 있습니다. 가입할 때 카드를 등록하며, 해지하지 않으면 8일째에 요금이 청구됩니다. 앱은 영어로 제공됩니다.

자주 묻는 질문

아이폰이나 안드로이드용 PHP2Shell 업데이트가 있나요?

PHP 권고문은 그런 업데이트를 언급하지 않습니다. 2026년 10월 23일 기준으로 권고문이 내놓은 수정은 새 PHP 릴리스 8.5.12, 8.4.27, 8.3.36, 8.2.35이며, 휴대전화 소프트웨어는 이름을 들지 않습니다. Apple과 Google의 업데이트는 무엇을 담고 있든 나오는 대로 설치하세요.

휴대전화가 오래돼 더 이상 업데이트를 받지 못해요. PHP2Shell이 걱정해야 할 이유인가요?

PHP2Shell 자체는 서버에 관한 것이므로 그것이 이유는 아닙니다. 다만 NCSC의 더 넓은 지적은 그대로입니다. 제조사의 보안 업데이트를 더 이상 받지 못하는 휴대전화는 보안이 약하고, NCSC는 지원이 끝난 휴대전화를 쓰지 말라고 권합니다.

내 맥이나 노트북은 PHP2Shell의 영향을 받나요?

PHP가 설치되어 있는지에 달려 있고, 휴대전화와는 별개의 문제입니다. 터미널로 확인하고 업데이트하는 방법은 PHP2Shell, 내 맥도 영향을 받을까에서 설명합니다.

이 문제가 고쳐질 때까지 웹사이트를 쓰지 말아야 하나요?

PHP 권고문, NCSC 경보, KISA 대응 수칙 어디에도 일반 이용자에게 웹사이트 이용을 멈추라는 내용은 없습니다. 이들의 권고는 PHP를 운영하는 쪽을 향해 있습니다. 방문자는 평소처럼 조심하면 되고, 특히 다운로드와 로그인 페이지에 주의하세요.

출처