자체 호스팅 앱에서 취약한 PHP 버전을 사용하는지 확인하는 방법

에바 왕

IceWhale author

에바 왕 는 기술 작가 그리고 이자 ZimaSpace의 상주 장인입니다. 평생을 기술에 열정을 가진 사람으로서 홈랩과 오픈소스 소프트웨어에 열정을 가지고 있으며,복잡한 기술 개념을 쉽게 이해할 수 있는 실습 가이드로 번역하는 데 전문성을 가지고 있습니다.에바는 셀프 호스팅이 어렵지 않고 재미있어야 한다고 믿습니다. 그녀의 튜토리얼을 통해 커뮤니티가 하드웨어 설정의 신비를 풀도록돕고 있습니다. 첫 NAS 구축부터 Docker 컨테이너 마스터링까지.

Conceptual guide: CHECK THE RUNNING PHP. Identify service; Inspect runtime; Verify vendor fix.

호스트에서 여러 PHP 버전을 동시에 실행할 수 있습니다. SSH 셸에서 확인한 버전은 명령줄 도구의 버전일 수 있으며, 공개 웹사이트는 다른 런타임을 사용할 수 있습니다. 2026년 10월 PHP 취약점을 평가하려면 각 버전 확인 결과를 실제 애플리케이션과 서비스에 연결하세요.

호스트의 명령줄 PHP만 확인하지 말고 애플리케이션을 제공하는 환경을 점검하세요. 정확한 런타임 브랜치 또는 배포판 패키지 리비전을 해당 보안 권고와 대조하되, 문서화된 공급업체의 백포트는 고려하고 확인이 끝나면 임시 진단 페이지를 삭제하세요.

1. PHP 기반 애플리케이션 식별

애플리케이션, 설치 방법, 외부 접속 경로를 목록으로 작성하세요. 애플리케이션 문서나 패키지 메타데이터를 확인해 PHP를 사용하는지 파악하세요. 동일한 애플리케이션 이미지를 사용하는 경우 cron 실행기와 큐 같은 보조 서비스도 포함하세요.

NAS 브랜드만으로 PHP 사용 여부를 추정하지 마세요. 여러 애플리케이션을 함께 실행하는 기기는 서비스별로 평가해야 합니다.

2. Compose 배포 환경 확인

docker compose ps
docker compose images
docker compose exec -T app php -v
docker compose exec -T app php --ini

이 명령은 의도한 Compose 프로젝트 디렉터리에서 실행하세요. app은 PHP가 포함된 서비스 이름으로 바꾸세요. 이 명령으로 현재 컨테이너를 확인하고 해당 서비스 내에서 바이너리를 조회합니다. PHP가 별도의 php 또는 fpm 서비스에서 실행된다면 해당 서비스를 검사하세요.

php 실행 파일이 없다고 해서 애플리케이션이 안전하다는 뜻은 아닙니다. 최소화된 이미지, 다른 바이너리 경로 또는 별도의 런타임 서비스에서는 관리자가 지정한 검사 방법을 사용해야 할 수 있습니다. 버전 확인을 마치기 위해 프로덕션 컨테이너에 패키지를 설치하지 마세요.

3. 호스트에 설치된 PHP 확인

command -v php
php -v
php --ini

이 내용은 셸의 PHP를 설명합니다. 다음으로 웹 서버 설정과 서비스 관리자를 살펴 사이트를 제공하는 PHP-FPM 풀, Apache 모듈 또는 기타 핸들러를 확인하세요. 해당 구성 요소의 패키지 버전과 공급업체 보안 권고를 확인하세요. PHP 문서에 따르면 설정 위치와 동작은 서버 인터페이스에 따라 다릅니다.

대시보드에서 실제 웹 서비스의 비공개 런타임 정보를 제공한다면 인벤토리를 보완하는 데 활용할 수 있습니다. 공개된 phpinfo() 페이지를 온라인에 남겨 두지 마세요. 점검과 무관한 정보까지 노출될 수 있습니다.

4. 보안 공지와 근거 비교

10월 21일 사고와 관련된 업스트림 보안 릴리스는 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12입니다. 같은 브랜치에서 이후에 나온 지원 버전에도 해당 수정 사항이 포함될 수 있습니다. 배포판이 보안 패치를 백포트한다면 업스트림 버전처럼 보이는 숫자만으로 패키지를 거부하거나 승인하지 말고, 해당 배포판의 패키지 리비전과 보안 공지를 확인하세요.

결과는 세 가지 상태 중 하나로 기록하세요. 수정 확인, 취약 확인, 공급업체 근거를 기다리는 미해결 상태입니다. 지원 종료 소프트웨어의 경우 지원되는 업그레이드 방법이나 유지 관리되는 공급업체의 명시적인 수정 사항을 확인하세요. 미해결 상태는 유지 관리 목록에 계속 표시해야 합니다.

5. 업데이트 후 상태 확인

배포 후에도 별도의 작업자와 컨테이너를 포함해 같은 점검을 반복하세요. 이미지 식별자 또는 패키지 리비전과 재시작 상태를 기록하세요. 일반적인 인증 요청과 가정에서 실제로 사용하는 기능을 테스트하세요.

ZimaCube 2 개인용 클라우드에서는 앱 구성 및 백업 안내와 함께 이 기록을 보관하세요. “NAS를 업데이트했다”가 아니라 “이 애플리케이션은 패치된 런타임을 사용한다”와 같이 추적 가능한 내용을 기록하는 것이 유용합니다. 취약한 컨테이너를 발견하면 데이터 볼륨을 변경하기 전에 링크된 업데이트 안내를 따르세요.

개인 스토리지 및 자체 호스팅 애플리케이션 환경을 위해 ZimaCube 2 개인용 클라우드 홈 NAS를 살펴보세요. 소프트웨어 보안은 설치된 서비스, 해당 서비스의 구성, 확인된 업데이트에 달려 있습니다.