PHP2Shell, 집에 있는 NAS도 업데이트해야 할까요
핵심 요약
- 시놀로지는 10월 22일(UTC+8) PHP 7.4~8.4 패키지와 Mail Station, Synology Calendar 수정 버전을 냈으니 패키지 센터에서 업데이트하고, 수정이 없는 PHP 7.3 패키지는 쓰지 않는 쪽으로 정리하세요.
- ASUSTOR는 10월 23일 PHP 8.3과 8.4 수정 버전을 냈고 PHP 7, 7.3, 7.4, 8.1은 App Central에서 내렸으니, 8.3 이상만 남기세요.
- QNAP은 10월 24일 공지에 올린 QTS, QuTS hero, QuTScloud 수정 버전으로 업데이트하고, 아직 수정이 없는 앱과 제품을 쓴다면 포트 포워딩과 UPnP를 끄고 밖에서는 VPN으로만 접속하세요.
- NAS에서 컨테이너로 띄운 앱 속 PHP는 제조사 업데이트로 고쳐지지 않으니, 그 이미지의 업데이트를 따로 확인하세요.
NAS도 업데이트하세요. 시놀로지, ASUSTOR, QNAP 모두 10월 24일까지 수정 버전을 냈어요. 다만 QNAP의 일부 앱과 제품은 아직 수정 중이에요. PHP2Shell로 불리는 PHP 취약점 두 개(CVE-2026-109618, CVE-2026-109619)는 웹사이트 서버만의 문제가 아니에요. NAS 중에도 관리 화면이나 일부 앱을 PHP로 돌리는 제품이 있기 때문이에요. 내 NAS 제조사에 맞는 단락만 읽으면 돼요.
NAS가 왜 PHP 취약점의 영향을 받나요
NAS를 브라우저로 열면 나오는 관리 화면이나 사진·메일·캘린더 앱은 집 안에 있는 작은 웹사이트예요. 버튼을 누를 때마다 NAS가 그 화면을 만들어 보내는데, 그 일을 맡는 언어 중 하나가 PHP예요. QNAP은 보안 공지에서 자사 운영체제와 여러 앱의 웹 구성 요소에 PHP를 쓴다고 밝혔어요.
PHP를 주문을 받아 화면을 만들어 내는 주방이라고 해 볼게요. 첫 번째 취약점은 주방에 일부러 일을 몰아 자리가 바닥나게 만들고, 준비가 덜 끝난 채로 뒷정리가 시작되는 틈을 노려요. 두 번째는 앞 주문이 쓰던 자리를 치운 뒤에도 그 자리를 가리키는 메모가 남아 있어서, 다음 주문이 그걸 잘못 읽는 틈이에요. 어느 쪽이든 공격자가 그 PHP에 닿을 수만 있으면 로그인하기도 전에 NAS에서 자기 코드를 실행할 수 있어요.
그래서 인터넷에서 바로 열리는 NAS가 가장 위험해요. QNAP도 수정 버전이 나오기 전까지는 기기를 인터넷에서 떼어 두는 게 가장 효과적인 보호라고 했어요.
제조사별 수정 버전은 언제 나왔나요
세 회사 모두 10월 22일에 공지를 냈고, 수정 버전은 시놀로지가 22일, ASUSTOR가 23일, QNAP이 24일에 올렸어요. 그림의 막대는 PHP 수정일(2026년 10월 21일, UTC)부터 제조사가 공지에 수정 버전을 처음 올린 날까지예요. QNAP 막대는 QTS, QuTS hero, QuTScloud 수정 버전을 올린 날까지이고, 다른 일부 제품은 아직 수정 중이에요.
(원본 이미지 열기)대응 방식은 저마다 달랐어요. 시놀로지는 공지와 함께 PHP 7.3을 뺀 모든 패키지의 수정을 마쳤고, PHP 프로젝트가 정식 버전 대신 소스 패치만 낸 PHP 7.4~8.1 패키지까지 고쳤어요. ASUSTOR는 반대로 지원이 끝난 PHP를 App Central에서 내리고 PHP 8.3 이상만 쓰라고 안내했어요.
시놀로지 NAS라면
시놀로지는 10월 22일 공지에서 DSM용 PHP 7.3~8.4 패키지와 Mail Station, Synology Calendar가 영향을 받는다고 밝혔어요. DSM에 내장된 PHP는 외부 공격 경로에 노출돼 있지 않아 악용 위험이 매우 낮다고 봤어요. 그러니 이 패키지들을 설치했는지 먼저 보세요.
패키지 센터를 열고 왼쪽 패널의 '설치됨'을 누르면 업데이트할 수 있는 패키지가 보여요. '업데이트'나 '모두 업데이트'를 누르세요(시놀로지 도움말). 업데이트한 뒤 버전이 아래 표 이상인지 확인하세요.
| 패키지 | 수정된 버전 |
|---|---|
| PHP 8.4 | 8.4.27-0051 이상 |
| PHP 8.3 | 8.3.36-0051 이상 |
| PHP 8.2 | 8.2.35-0171 이상 |
| PHP 8.1 | 8.1.34-0120 이상 |
| PHP 8.0 | 8.0.30-0122 이상 |
| PHP 7.4 | 7.4.33-0131 이상 |
| PHP 7.3 | 수정 없음 (지원 종료) |
| Mail Station | 30000002.3.19-20333 이상 |
| Synology Calendar | 3.0.4-21435 이상 |
PHP 7.3 패키지는 지원이 끝나 수정이 나오지 않아요. 이 패키지를 쓰는 사이트나 앱이 있다면 새 PHP 패키지로 옮기고, 쓰는 곳이 없다면 지우세요.
ASUSTOR NAS라면
ASUSTOR는 10월 22일 공지를 내고 23일에 수정 버전을 추가했어요. ADM에 PHP를 설치한 제품이 영향을 받고, PHP 프로젝트가 8.2 이상만 고치기 때문에 PHP 7, 7.3, 7.4, 8.1을 App Central에서 내렸다고 밝혔어요.
| ADM 버전 | 할 일 |
|---|---|
| 5.0, 5.1 | PHP 8.3은 8.3.36.r124 이상, PHP 8.4는 8.4.27.r106 이상으로 업데이트 |
| 4.1, 4.2, 4.3 | PHP 8.3을 8.3.36.r3 이상으로 업데이트 |
| 3.5, 4.0 | Web Center에서 웹 서버를 끄고 PHP 7, 7.3, 7.4, 8.1 제거 |
ASUSTOR는 완화책으로 Web Center에서 웹 서버를 끄고, 지원이 끝난 PHP는 지우고, PHP 8.3 이상만 쓰라고 권해요.
QNAP NAS라면
QNAP은 10월 22일 공지에서 아래 제품이 영향을 받는다고 밝혔고, 10월 24일 공지를 고쳐(V1.1) QTS, QuTS hero, QuTScloud의 수정 버전을 올렸어요. QNAP 제품을 노린 악용 사례는 아직 보고받지 않았다고 했어요.
| 제품 | 수정된 버전 |
|---|---|
| QTS 6.1.0 | 6.1.0.3656 build 20261023 |
| QTS 5.2.11 이하 | 5.2.11.3661 build 20261023 |
| QuTS hero h6.1.0 | h6.1.0.3656 build 20261023 |
| QuTS hero h6.0.x | h6.0.2.3656 build 20261023 |
| QuTS hero h5.2.11 이하 | h5.2.11.3661 build 20261023 |
| QuTScloud c5.2.9 이하 | c5.2.9.3661 build 20261023 |
| Note Station 3 3.9.14 이하 | 추후 공지 |
| QNE (ADRA) 1.0.7 이하 | 추후 공지 |
| QVR Surveillance 3.0.3 이하(ARM32 모델) | 추후 공지 |
| TVR OS 1.0.4 이하 | 추후 공지 |
공지 첫머리의 영향 제품 목록에는 QuMagie 2.10.1 이하도 있지만, QNAP 공지의 표에는 빠져 있어 수정 버전이 나와 있지 않아요.
QTS, QuTS hero, QuTScloud는 Control Panel > System > Firmware Update의 Live Update에서 Check for Update를 눌러 바로 업데이트하세요. 메뉴 이름은 QNAP 공지에 적힌 영어 그대로예요. QNAP 다운로드 센터에서 파일을 받아 직접 업데이트해도 돼요. 업데이트한 뒤 버전이 위 표 이상인지 확인하세요.
아직 수정 버전이 없는 앱이나 제품을 쓴다면, 수정 버전이 나올 때까지 아래 순서로 노출을 줄이세요. QNAP 공지에 나온 완화책이에요. QNE (ADRA), QVR Surveillance, TVR OS에는 이 메뉴가 없으니 1~3단계를 공유기나 네트워크 방화벽에서 하세요.
- 인터넷 노출을 끄세요. 공유기에서 NAS로 가는 포트 포워딩(인터넷에서 오는 접속을 NAS로 넘겨 주는 규칙)과 UPnP(집 안 기기가 이런 규칙을 스스로 만들게 하는 기능)를 끄고, myQNAPcloud > Auto Router Configuration에서 UPnP 포트 포워딩도 끄세요. 필요 없다면 myQNAPcloud Link를 끄고 Publish Services에서 공개를 해제하세요.
- 밖에서는 VPN으로 접속하세요. QVPN Service나 공유기의 VPN을 쓰고 웹 포트를 직접 열어 두지 마세요.
- 관리 포트를 믿을 수 있는 망에서만 열어 두세요. QuFirewall, 또는 Control Panel > System > Security > Allow/Deny List에서 관리 포트(기본 8080, 443)를 집 안 네트워크나 VPN 주소에만 허용하세요. 다만 집 안의 다른 기기가 이미 감염됐다면 이것만으로는 막지 못해요.
- 쓰지 않는 PHP 기반 앱은 멈추세요. App Center에서 당장 쓰지 않는 앱을 중지하고, 내장 웹 서버를 쓰지 않는다면 Control Panel > Applications > Web Server에서 끄세요.
- 침입 흔적을 확인하세요. QuLog Center에서 낯선 로그인이나 접근이 있는지 보고, 최신 정의로 Security Center와 Malware Remover를 돌리세요.
- 침입이 의심되면 NAS를 네트워크에서 분리하고, 비밀번호를 모두 바꾸고, QNAP 지원팀에 문의하세요.
나머지 수정 버전이 나오면 Note Station 3는 App Center에서 바로 업데이트하고, QNE (ADRA), QVR Surveillance, TVR OS는 QNAP 다운로드 센터에서 모델에 맞는 파일을 받아 설치하세요. QNAP은 업데이트한 뒤에도 NAS를 인터넷에 직접 노출하지 말라고 권해요.
NAS에서 컨테이너로 앱을 돌린다면
워드프레스나 Nextcloud 같은 앱을 NAS의 컨테이너(Docker 등)로 띄웠다면, 그 안의 PHP는 제조사 업데이트로 고쳐지지 않아요. QNAP은 공지에서 Container Station의 컨테이너와 다른 회사 앱에 든 PHP는 자사 업데이트 범위가 아니라며 이미지나 앱 제공자에게 수정 버전을 확인하라고 했어요. 시놀로지와 ASUSTOR 공지도 자기 패키지만 다뤄요.
이미지 제공자의 업데이트를 확인해 새 이미지로 다시 띄우세요. 그 앱이 인터넷에 열려 있었다면 PHP 버전별 대응 글의 "사이트를 운영하거나 호스팅을 쓰고 있다면" 단계도 함께 보세요.
다른 제조사 NAS라면
제조사 보안 공지에서 CVE-2026-109618이나 CVE-2026-109619를 찾아보세요. 공지가 없거나 수정 버전이 아직 없다면, QNAP이 권한 것처럼 포트 포워딩과 UPnP를 끄고 밖에서는 VPN으로만 접속하세요. 수정 전까지 가장 효과적인 대비예요.
출처
날짜는 각 출처가 적은 날이에요. php.net은 UTC 기준(10월 21일), 시놀로지는 UTC+8 기준(10월 22일 19시 45분, 한국 시간 20시 45분)이에요. QNAP과 ASUSTOR는 시간대를 적지 않았어요. 제조사 공지는 2026년 10월 24일에 확인했어요.
- Synology, Synology-SA-26:14(2026년 10월 22일): https://www.synology.com/ko-kr/security/advisory/Synology_SA_26_14
- Synology 지식 센터, 패키지 관리: https://kb.synology.com/ko-kr/DSM/help/DSM/PkgManApp/manage?version=7
- QNAP, QSA-26-18(2026년 10월 22일 공개, 24일 개정): https://www.qnap.com/ko-kr/security-advisory/qsa-26-18
- ASUSTOR, AS-2026-023(2026년 10월 22일 공개, 23일 개정): https://www.asustor.com/ko/security/security_advisory_detail?id=72
- php.net, 2026년 10월 21일 보안 릴리스: https://www.php.net/archive/2026.php#2026-10-21-5