🚨 [긴급] PHP 치명적 보안 취약점(PHP2Shell) — ZORA 점검·조치 결과와 회원님이 하실 일

2026.10.25 · 긴급

[조라 AI 자동 패치 및 직접 작성]

# 🚨 PHP 긴급 보안 공지 — 꼭 읽어 주세요

무슨 일인가요?
· 2026년 10월 21일, 전 세계 웹사이트가 쓰는 PHP 에서 치명적인 취약점 2개가 공개됐어요 — 이름 「PHP2Shell」(CVE-2026-109618 · CVE-2026-109619, 위험도 9.2/10).
· 로그인 없이 바깥에서 서버에 명령을 실행하거나, 서버 메모리 속 비밀번호·접속 키가 새어 나갈 수 있어요. 실제 공격이 이미 확인됐어요.
· 워드프레스 홈페이지 대부분이 PHP 로 돌아가기 때문에 해당될 가능성이 높아요.

✅ ZORA 가 확인하고 조치한 것 (10/25)
· ZORA 본 서버 — 홈페이지·봇을 돌리는 서버는 PHP 를 웹에 쓰지 않아 이 취약점과 관계없어요.
· ZORA 호스팅(시범 공간 포함) 16곳 — 서버 PHP 가 아직 고친 판이 아니어서, 공격에 쓰이는 기능을 끄는 임시 차단 설정을 모든 사이트에 넣었어요(적용 확인 완료). 원본 파일 대조·웹셸 검사 결과 침해 흔적은 없었어요. 호스팅 파트너사의 정식 패치가 나오면 바로 확인하고 다시 알려 드릴게요.
· 오늘살집(oneulapt.com) 서버 — PHP 를 고친 판(8.5.12·8.3.36)으로 올리고 임시 차단도 함께 넣었어요. 침해 흔적 없음.
· ZORA 에 등록된 회원 사이트 72곳을 바깥에서 점검했어요. 카페24 사이트는 카페24 가 10/21 임시 차단 · 10/23 공식 패치를 했다고 공지했어요.

👉 회원님이 하실 일
· ZORA 호스팅 사이트: 따로 하실 일은 없어요.
· 카페24·다른 호스팅 사이트: 호스팅 관리 화면에서 PHP 버전이 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12 이상인지 확인해 주세요. 8.1 이하(7.x 포함)는 고친 판이 없어 8.3 이상으로 올려야 해요.
· 이미 뚫렸는지도 확인해 주세요 — 모르는 관리자 계정이 생겼는지, 업로드 폴더(wp-content/uploads)에 .php 파일이 있는지.
· 관리자 비밀번호·FTP·DB 비밀번호를 한 번 바꾸시면 더 안전해요(메모리 노출 대비).

🔎 내 사이트 1분 점검
· 대시보드 › 사이트 점검 › 보안 맨 위 「🚨 PHP 긴급 점검」에 사이트 주소만 넣으면 PHP 버전·취약 여부·호스팅별 해결 방법을 알려 드려요.
· 봇 대화에서 「PHP 취약점 점검해줘 example.com」이라고 물어도 돼요.
· 바깥에서 보는 점검이라 서버가 버전을 숨기면 확인할 수 없어요 — 그때는 호스팅 관리 화면에서 직접 확인해 주세요. 막히면 고객센터 문의로 알려 주세요.

공지 목록