시놀로지·큐냅·Unraid — PHP2Shell 취약점 현황과 NAS 점검 가이드

10월 21일 공개된 PHP 핵심 취약점 PHP2Shell (CVE-2026-109618 / 109619, CVSS 9.2)은 인증 없는 원격 코드 실행(RCE)이 가능한 결함입니다. 공개 2시간 만에 공격이 수십만 건 — NAS 업체들의 대응은 제각각이었습니다. 보유 NAS의 안전 여부를 확인하는 가이드를 정리합니다.

1. 업체별 대응 현황 (10/31 기준)

업체	영향 범위	패치	보유 장비 조치
시놀로지	PHP 의존 패키지 (Web Station, WordPress, phpMyAdmin, Calendar, Mail Station 등 10종). DSM 자체는 외부 노출 없음	✅ 완료 — 10/22 패키지 배포, EOL(DSM 6.2~7.1)까지 확대(10/29)	패키지 센터에서 PHP 업데이트
큐냅	QTS 5.2.11 이하, QuTS hero, QuMagie, Note Station 3, QVR 등 광범위	🔴 미발표 ("수정 중")	외부 포트 차단 임시 조치
Unraid	WebGUI (PHP 기반)	✅ 완료 — 7.3.4 / 7.4.0-rc.2 (PHP 8.4.27)	7.3.4 이상으로 업데이트

2. 시놀로지 — 이중 사건 주의

시놀로지는 PHP2Shell 외에 별개의 랜섬웨어 공격을 공개했습니다(10/29). EOL(지원 종료) DSM에서 작년 12월에 패치됐던 옛 취약점을 악용해 데이터를 암호화하고 금품을 요구하는 사례입니다. 핵심: 지원 종료된 DSM 버전을 그대로 쓰고 있다면 패치 여부와 무관하게 위험합니다.

DSM 버전 확인: 제어판 → 정보 (6.2 이하 = EOL)
EOL이면: 지원 버전으로 업그레이드가 원칙, 불가하면 인터넷 노출 포트 즉시 차단

3. 큐냅 보유자 — 패치 전까지 할 수 있는 것

큐냅은 아직 수정 패치가 나오지 않았습니다. 노출된 장비는 지금도 공격 대상입니다:

라우터에서 NAS 관리 포트(8080/443 외부 포트포워딩) 제거 — 가장 효과적
myQNAPcloud 원격 접속 비활성화
불필요한 앱(Download Station, PHP 확장 등) 제거 — EOL 앱은 수정 없음
어쩔 수 없이 노출해야 하면 VPN(WireGuard/Tailscale) 뒤로 전환

4. Unraid 보유자

WebGUI가 PHP 기반이라 영향 경로가 있었으나, 7.3.4 안정판 / 7.4.0-rc.2에서 PHP 8.4.27로 패치 완료됐습니다. 버전 확인: WebGUI 우측 상단. 자사 운영 서버도 패치 적용 완료했습니다.

5. 공통 — 지금 확인할 것

외부 노출 여부: NAS 관리 화면이 인터넷에서 바로 보이면 최우선 조치 (VPN 뒤로)
2단계 인증: 관리 계정에 무조건 활성화
백업 분리: 백업이 같은 NAS 안에 있으면 랜섬웨어에 같이 암호화됩니다 — 3-2-1 원칙 (다른 장소 1개는 오프라인)

보유 NAS의 모델·버전을 알려주시면 영향 여부와 조치 순서를 바로 진단해 드립니다. 외부 노출 여부 점검을 포함한 보안 점검 문의도 환영합니다.

목록으로 →AI 뉴스 전체 보기

이 주제로 더 이야기해볼까요?

현장 상황을 알려주시면 적용 가능한 구성을 검토해 드립니다.

기술문의 하기 →

📞 전화 문의 053-327-1917 기술문의 →