공유기나 방화벽도 PHP를 쓸까? PHP2Shell이 의미하는 것

WindowsMac업데이트

pfSense를 만드는 Netgate와 OPNsense 팀은 PHP 개발팀이 PHP2Shell 취약점을 발표한 2026년 10월 21일에 방화벽 소프트웨어의 PHP 업데이트를 내놓았습니다. 일반 가정용 공유기가 영향을 받는지는 제조사가 PHP를 넣었는지에 달려 있고, 그것은 제조사만 알려 줄 수 있습니다. 이 글은 2026년 10월 23일 기준 정보입니다.

간단한 답변

PHP2Shell은 웹 요청을 처리하는 PHP 설치에 영향을 주고, 일부 네트워크 장비는 관리 화면에 PHP를 씁니다. pfSense와 OPNsense는 수정을 발표했습니다. 다른 공유기라면 제조사 지원 페이지에서 펌웨어 업데이트를 확인하고, 관리 화면을 인터넷에 열어 두지 말고, 업데이트가 나오면 설치하세요.

PHP2Shell이 내 공유기에 영향을 주나요?

공유기가 PHP를 쓸 때만 그렇고, 대부분의 사용자는 겉에서 그것을 알 수 없습니다. PHP 권고문은 두 취약점, CVE-2026-109618과 CVE-2026-109619가 웹 요청을 처리하는 모든 PHP 설치를 위험하게 하며, 인증 없이 원격으로 코드를 실행하게 할 수 있다고 말합니다. 쉽게 말해 누군가가 로그인하지 않고도 장비에서 자기 명령을 실행할 수 있다는 뜻입니다.

한국인터넷진흥원(KISA)은 10월 22일 보안공지에서 PHP가 내장된 장비와 솔루션을 따로 확인하라고 하며, 그 예로 네트워크 장비 관리 화면을 들었습니다. 미국 CISA도 PHP가 다른 소프트웨어의 구성 요소인 경우가 많아 얼마나 퍼져 있는지 바로 드러나지 않을 수 있다고 설명합니다. 그래서 상자에 적혀 있지 않아도 장비 안에 PHP가 있을 수 있습니다.

이 글에서는 가정용 공유기 브랜드를 따로 들지 않습니다. 제조사 자신의 권고가 제품이 영향을 받았거나 고쳐졌다고 말할 때만 이름을 적기 때문입니다. 그렇게 밝힌 두 곳은 아래와 같습니다.

Netgate는 pfSense에 대해 뭐라고 하나요?

Netgate는 2026년 10월 21일 글에서 두 취약점이 pfSense 소프트웨어 설치에 영향을 준다고 밝혔습니다. 다만 pfSense의 PHP GUI, 즉 웹 관리 화면이나 캡티브 포털 서비스가 잠재적 공격자에게 노출되어 있을 때만 걱정할 일이라고 덧붙였습니다.

Netgate에 따르면 관리 화면은 기본적으로 인터넷이 아니라 내부 네트워크에서만 접속할 수 있고, 캡티브 포털은 켜져 있지 않습니다. 업데이트된 버전은 다음과 같습니다.

  1. pfSense Plus 26.07과 26.03.1, pfSense CE 2.9.0: PHP 8.5.12 포함
  2. pfSense CE 2.8.1: PHP 8.3.36 포함

이 업데이트는 웹 관리 화면에서 할 수 없습니다. Netgate는 SSH나 콘솔의 명령줄에서 해야 한다고 하며, 글에 정확한 명령어를 적어 두었습니다. 관리 화면을 인터넷에 노출한 사람은 즉시 업데이트하고 규칙을 바꾼 뒤, 앞으로는 VPN 같은 안전한 방법으로만 관리 화면에 접속해야 합니다. 캡티브 포털 사용자는 가능한 한 빨리 업데이트해야 합니다. 그 밖의 사용자도 편할 때 업데이트하라고 Netgate는 말합니다.

OPNsense는 뭐라고 하나요?

OPNsense는 2026년 10월 21일 발표에서 PHP를 업데이트한 핫픽스를 공개했습니다. Community Edition 26.7.7은 PHP 8.5.12, Community Edition 26.1.11은 PHP 8.3.36을 담았고, Business Edition용 업데이트도 있습니다. OPNsense의 26.7 릴리스 노트는 26.7.7 항목 아래에 CVE-2026-109618과 CVE-2026-109619를 위한 긴급 핫픽스, PHP 8.5.12를 적어 두었습니다.

OPNsense의 발표는 이 보안 업데이트를 가능한 한 빨리 설치하라고 강하게 권합니다. 캡티브 포털을 쓴다면 설치 후 캡티브 포털 서비스를 재시작해야 수정이 적용된다고 합니다.

KISA와 CISA는 PHP가 내장된 장비에 대해 뭐라고 하나요?

두 기관의 안내는 기업을 위한 것이지만, 둘 다 사람들이 직접 설치한 서버 너머를 가리킵니다. KISA는 자산 관리 목록에만 의존하지 말고 실제로 동작 중인 서버를 기준으로 확인하라고 하며, 호스팅 업체나 장비·솔루션 제조사가 PHP를 관리한다면 해당 업체에 조치 적용 여부를 확인하고 요청하라고 안내합니다. CISA는 어떤 버전이든 PHP를 실행하는 시스템을 모두 찾아 목록을 만들고, 인터넷에 노출된 시스템부터 패치하며, 바로 업데이트할 수 없거나 PHP 8.1 이하를 쓰는 시스템은 오프라인으로 전환하라고 합니다.

집에서는 그 일이 공유기 제조사의 지원 페이지를 확인하는 것으로 바뀝니다. 악용에 대해서는 2026년 10월 23일 기준으로, CISA가 10월 21일 경보(10월 23일 개정)에서 발표 시점 기준으로 이 취약점들이 실제 환경에서 성공적으로 악용된 것을 관찰하지 못했다고 밝혔습니다. KISA는 10월 22일 보안공지에서 보안 업데이트 배포 전에 취약점 정보가 유출되었고, 해외 보안업체를 중심으로 공격 시도가 보고되고 있다고 밝혔습니다. 큐냅의 권고문은 PHP를 노린 악용 시도가 공개적으로 보고되었다고 썼습니다.

집 공유기에서는 무엇을 하면 되나요?

소프트웨어를 직접 들여다볼 수 없는 다른 기기처럼 다루면 됩니다. 아래 단계 가운데 펌웨어, 원격관리, 관리자 비밀번호는 KISA의 공유기 보안 안내가 다룹니다. 화면은 제조사마다 다를 수 있으니 각 제조사의 매뉴얼을 참고하라고 KISA는 말합니다.

  1. 공유기의 제조사와 모델명을 확인하고, 제조사 지원 페이지에서 그 모델을 찾습니다.
  2. 보안 공지나 펌웨어 업데이트가 있는지 봅니다. KISA는 공유기의 취약한 부분을 개선하는 최신 펌웨어가 있는지 주기적으로 확인하고 업데이트하라고 하며, 자동 업그레이드 기능으로 펌웨어를 최신 버전으로 유지하라고 권고합니다.
  3. 제조사가 내놓은 펌웨어 업데이트를 설치합니다.
  4. 원격관리 기능을 끕니다. KISA는 원격관리 기능을 사용하지 않는다면 반드시 '사용하지 않음'으로 설정하라고 권고합니다. 2024년 안내에서는 공유기가 원격접속 관리 기능 같은 여러 기능이 켜진 상태로 판매되며, 쓰지 않는 기능이 불필요하게 켜져 있으면 외부 접근을 허용하고 해킹의 통로로 악용될 수 있으니 필요 없는 기능은 해제하라고 합니다.
  5. 필요 없다면 UPnP를 끕니다. 미국 CISA의 권고이며, 이유는 UPnP와 포트포워딩을 끄는 방법에서 설명합니다.
  6. 관리자 비밀번호를 바꿉니다. KISA는 구매할 때 설정된 초기 ID와 비밀번호는 웹 검색만으로 쉽게 알 수 있다며, 처음 쓸 때 꼭 바꾸고 영문 대소문자, 숫자, 특수문자를 섞은 8자리 이상으로 주기적으로 바꾸라고 합니다.

KISA는 보호나라의 내PC돌보미 서비스를 신청하면 쓰고 있는 공유기의 취약점 점검도 받을 수 있다고 안내합니다. 집에 NAS도 있다면 시놀로지와 큐냅이 각자 권고를 냈습니다. 시놀로지와 큐냅 NAS의 PHP2Shell 대응에서 각각의 내용을 다룹니다.

자주 묻는 질문

PHP2Shell의 영향을 받는 제품 목록이 있나요?

네덜란드 NCSC-NL이 깃허브에 영향을 받을 수 있는 PHP 의존 소프트웨어 제품 목록을 운영하며, KISA도 이 저장소를 참고 자료로 들었습니다. 목록은 상황에 따라 계속 업데이트되고 있다고 하므로 출발점으로 쓰세요. 내 모델에 대해서는 제조사 자신의 공지가 기준입니다.

공유기의 PHP를 내가 직접 업데이트할 수 있나요?

대부분의 가정용 공유기에서는 할 수 없습니다. 공유기에 PHP가 있다면 제조사 펌웨어 안에 들어 있으므로, 수정도 펌웨어 업데이트로 옵니다. pfSense와 OPNsense는 다릅니다. 사용자가 각 프로젝트의 공지에 나온 방법대로 업데이트된 PHP를 직접 설치합니다.

공유기 관리 화면이 집 안에서만 열립니다. 그럼 안전한가요?

Netgate는 관리 화면을 신뢰할 수 없는 네트워크에 열어 두지 않고 캡티브 포털을 쓰지 않는 pfSense 사용자는 영향을 받지 않지만, 그래도 업데이트하라고 합니다. 큐냅은 접근을 내부 네트워크로 제한해도 이미 감염된 내부 기기의 공격은 막지 못한다고 경고합니다. 해결책은 여전히 업데이트입니다.

업데이트가 아직 없으면 우회 방법이 있나요?

PHP 개발팀은 업데이트만이 완전한 해결책이고, 임시 설정은 노출을 줄일 뿐 설치를 안전하게 만들지 않는다고 말합니다. 그 설정은 PHP를 직접 운영하는 사람을 위한 것입니다. 공유기라면 관리 화면을 인터넷에 열어 두지 않고 제조사 업데이트를 설치하는 것이 내가 할 수 있는 일입니다.

PHP2Shell이 무엇인가요?

2026년 10월 21일 발표된 PHP의 심각한 취약점 두 가지, CVE-2026-109618과 CVE-2026-109619를 부르는 이름이며, 둘 다 CVSS 4.0 기준 9.2점입니다. 수정된 PHP 버전은 PHP2Shell 해설에 있습니다.

출처