AI 소프트웨어 기업 센트리어(대표 최진백)가 PHP 보안취약점 ‘PHP2Shell’로 인한 홈페이지 해킹에 대응하는 무료 취약점 점검·긴급 대응 서비스 PHP2Shell 점검센터 (https://php2shell.kr)를 열었다고 밝혔다.

로그인 없이 서버를 장악하는 PHP 보안취약점… 8.1 이하는 PHP 업데이트로만 막을 수 있어

PHP2Shell은 10월 21일 PHP 보안팀이 보안 패치를 공개한 두 건의 PHP 취약점(CVE-2026-109618, CVE-2026-109619)을 묶어 부르는 이름이다. 인증 없이 원격에서 서버의 명령을 실행하거나 메모리를 읽어 낼 수 있는 PHP 엔진 자체의 결함으로, 심각도는 CVSS 9.2(치명)다. 워드프레스·그누보드·영카트 등 PHP로 돌아가는 모든 홈페이지가 웹사이트 해킹의 영향권이며, 뚫린 서버에는 웹셸(웹쉘)과 악성코드가 심기고 회원 정보 유출, 랜섬웨어 같은 침해사고로 이어진다. 공개 나흘 전인 10월 17일부터 공격 시도가 관측됐고, 과학기술정보통신부는 10월 22일 사이버위기경보를 ‘주의’로 올렸다.

PHP 패치가 적용된 PHP 버전은 8.5.12·8.4.27·8.3.36·8.2.35 이상이다. 지원이 끝난 8.1 이하 버전은 보안 패치가 없어 PHP 업데이트(업그레이드)나 재구축이 아니면 막을 수 없다.

국내 서버 120만 개 중 보안 패치 적용 3.7%… 버전을 숨긴 서버가 58%

점검센터가 Censys ARC 공개 데이터로 집계한 10월 25일 기준 국내 PHP 서비스는 120만4000여 개로 세계 13위다. PHP 버전이 확인되는 50만 개 가운데 취약한 버전이 48만1000개, 보안 패치를 적용한 서버가 1만8000개로 패치 적용률은 3.7%에 그친다. 세계 평균 23.7%의 6분의 1 수준이다. 나머지 70만4000개는 버전을 숨겨 밖에서는 판정할 수 없다. 센트리어는 숨겼다고 안전한 것이 아니라 밖에서 확인이 안 될 뿐이라고 설명했다.

세계 전체로는 PHP 서비스 9870만 개 중 3250만 개가 취약한 버전이고, 그중 2350만 개는 보안 패치 자체가 없는 옛 버전이다. 236개국의 현황은 나라별 현황 (https://php2shell.kr/world) 페이지에서 지도와 순위로 볼 수 있으며 매시간 갱신된다.

주소만 넣으면 1분 무료 취약점 점검, AI 긴급 상담은 16개 언어

php2shell.kr에 홈페이지 주소를 넣으면 서버가 공개한 PHP 버전 정보만으로 영향 여부를 1분 안에 판정한다. 모의해킹처럼 공격을 넣지 않고 확인하므로 사이트에 부담이 없다. 점검 결과에 따라 AI 긴급 상담 (https://php2shell.kr/ai)이 24시간 16개 언어로 상황을 정리하고 보안 전문가에게 연결한다. 해킹 과정 (https://php2shell.kr/how) 페이지는 공격이 어떻게 들어와 무엇을 가져가는지를 움직이는 그림으로 설명한다.

대응 서비스와 가격 (https://php2shell.kr/pricing)은 긴급 PHP 패치 대행(보안 업데이트, 서버 1대 33만원), 침해사고·웹셸 점검(해킹 검사와 악성코드 검사·제거, 55만원), 패치와 침해 점검 묶음(77만원), 정밀 보안 점검(워드프레스·그누보드·서버 보안 설정 전반, 99만원), 카페24 등 공유 호스팅 점검(22만원), PHP 업그레이드·재구축 지원(규모 확인 후 견적)으로 구성된다(부가세 별도). 패치로 끝나는지, 재구축으로 가야 하는지를 가르는 ‘갈림길 진단’의 첫 판정은 무료다. 보안 담당자가 없는 중소기업·소상공인 홈페이지도 같은 절차로 서버 보안 점검을 받을 수 있다.

공개 당일 자사 170여 개 도메인부터 패치

센트리어는 취약점 공개 당일 직접 운영하는 170여 개 도메인을 보안 패치 버전(PHP 8.3.36)으로 올리고, 워드프레스 멀티사이트에서 숨어 있던 웹셸을 찾아 격리했으며, 웹방화벽 성격의 웹서버 전역 차단과 공격 IP 차단으로 해킹 방지 조치를 적용했다. 운영 서버에서 직접 겪은 해킹 사고 대응 절차를 그대로 서비스로 옮긴 것이 점검센터다.

최진백 센트리어 대표는 “버전을 숨긴 서버가 절반을 넘지만 숨겼다고 안전한 것은 아니다. 보안 전문가가 서버 안에서 PHP 버전과 해킹 흔적을 직접 확인해야 한다”며 “패치로 끝나는 서버와 재구축으로 가야 하는 서버를 먼저 가르는 것이 가장 중요하고, 그 첫 판정은 무료로 해 드린다”고 말했다.

PHP2Shell 점검센터는 php2shell.kr에서 바로 이용할 수 있다. 국내 고객은 전화로도 문의할 수 있으며, 국내 방문 점검도 가능하다.

센트리어 소개

센트리어는 웹런(webrun.kr) 브랜드로 홈페이지·웹서비스·모바일 앱을 설계부터 구축, 운영까지 맡는 AI 소프트웨어 기업이다. 170여 개 도메인을 직접 운영하며 쌓은 경험으로 서버 운영과 보안 사고 대응, 옛 PHP 사이트의 업그레이드와 재구축을 돕는다. 2026년 10월에는 PHP 치명적 취약점에 대응하는 PHP2Shell 점검센터(php2shell.kr)를 열어 무료 점검과 긴급 패치·침해 점검 서비스를 제공하고 있다. 해외 유통사에 납품하는 공급사를 위한 EDI 중계망 ‘EDI-VAN’(edi-van.com)도 운영한다.

언론연락처: 센트리어 AI전략기술팀 최진백 대표 1577-9512

이 뉴스는 기업·기관·단체가 뉴스와이어를 통해 배포한 보도자료입니다.