통념: 인터넷에 공개된 서비스만 확인하면 될까
PHP 원격 코드 실행 취약점 ‘PHP2shell’은 PHP 엔진의 결함으로, CVE-2026-109618과 CVE-2026-109619 두 건이다. PHP 보안팀은 CVSS v4.0 기준 9.2점으로 평가했고, 2026년 10월 21일 지원 중인 PHP 8.2~8.5 패치를 공개했다.
흔한 대응은 외부에 노출된 웹사이트부터 살피는 것이다. 우선순위로는 타당하지만, 외부 점검만으로 전체 위험이 파악된다는 생각에는 함정이 있다. 뉴스에 따르면 2012년 발표된 PHP 5.4.0 이후 버전도 영향을 받으며, PHP가 특정 애플리케이션 하나가 아니라 웹 서비스의 실행 기반이라는 점이 점검 범위를 넓힌다.
로그프레소 스캐너가 보는 범위와 맹점
로그프레소는 PHP2shell 스캐너 앱을 10월 24일 로그프레소 스토어에서 고객 대상으로 공개했다. SIEM·XDR에 설치한 뒤 점검 URL을 등록하면 진단하며, 로그프레소 서버에서 접근 가능한 내부망 자산도 검사한다. SIEM은 보안 이벤트를 모아 분석하는 시스템이고, XDR은 여러 보안 영역의 탐지·대응을 통합하는 체계다.
내부 관리 도구나 네트워크 장비의 관리 화면은 외부 인터넷 점검으로 놓칠 가능성이 있다. 그렇다고 스캔 결과가 곧 전체 안전을 증명하는 것은 아니다. 뉴스에 소개된 기능은 등록 URL의 취약 여부와 PHP 버전 정보를 확인하고 이력을 관리하는 것이다. 등록되지 않은 자산의 누락, 서버 접근성, 실제 패치 적용 여부까지 결과가 대신 보증한다고 볼 근거는 없다.
최악의 경우 잃을 수 있는 것
취약한 내부 자산이 남으면 내부망에 진입한 공격자가 다른 시스템으로 이동하는 경로가 될 수 있다. 최악에는 한 웹 서비스의 결함이 내부 시스템까지 번질 가능성이 있다. 다만 실제 침해가 발생했다는 뜻은 아니다. 취약점 진단과 침해 흔적 확인은 다른 작업이며, 로그프레소는 별도 권고문에서 침해 흔적 점검 방법도 안내하고 있다.
반대 의견도 고려해야 한다. 모든 URL을 한꺼번에 등록하고 스캔하면 빠르게 끝날 수 있지만, 목록의 완전성이나 결과 판정만 믿으면 실제 자산 관리와 패치 확인이 빠질 수 있다. 스캐너는 가시성을 높이는 도구이지, 자산 목록과 조치 절차를 대체하지 않는다.
결론
PHP2shell 대응에서 진짜 확인할 것은 스캔 실행 여부가 아니라 범위와 후속 조치다.
- 외부 서비스와 내부 관리 화면을 포함해 점검 URL 목록을 대조한다.
- 취약 판정 자산의 PHP 버전을 확인하고 해당 환경에 맞는 패치를 적용한다.
- 재점검 결과와 이력을 확인하고, 미조치 자산은 별도로 추적한다.
- #로그프레소
- #PHP2shell
- #PHP취약점
- #보안점검
- #SIEM