PHP 보안 취약점 PHP2Shell, 내 사이트 PHP 버전 확인하고 올리는 순서
2026년 10월 21일, PHP 개발팀이 보안 업데이트를 내놓았습니다. 이번에 고친 취약점 2건은 「PHP2Shell」이라는 이름으로 알려졌고, 로그인하지 않은 사람이 요청 하나로 서버에서 코드를 실행할 수 있는 수준입니다. PHP 공지는 웹 요청을 처리하는 PHP
2026년 10월 21일, PHP 개발팀이 보안 업데이트를 내놓았습니다. 이번에 고친 취약점 2건은 「PHP2Shell」이라는 이름으로 알려졌고, 로그인하지 않은 사람이 요청 하나로 서버에서 코드를 실행할 수 있는 수준입니다. PHP 공지는 웹 요청을 처리하는 PHP 설치 전부를 위험 대상으로 봤습니다. 워드프레스처럼 PHP로 돌아가는 사이트라면, 이번에 고친 버전으로 올리기 전까지 여기에 해당합니다.
PHP 공식 공지는 업데이트만이 완전한 해결책이라고 밝혔습니다. 먼저 내 사이트의 PHP 버전부터 확인해 보세요.
1. 무슨 일이 있었나
- 취약점 번호: CVE-2026-109618, CVE-2026-109619 (두 건 모두 위험도 9.2점, 10점 만점 기준)
- 영향 범위: 웹 요청을 처리하는 PHP 전부(PHP-FPM, 아파치 mod_php, php-cgi, LiteSpeed 등). 공지는 아파치 mod_php 환경을 가장 위험하다고 봤습니다.
- 해당 버전: 보안 업체 위즈(Wiz) 분석으로는 최근 10년 사이 나온 거의 모든 PHP 버전이 두 취약점 중 하나 이상에 해당됩니다.
- 고친 버전: 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35
공식 발표 전에 내용이 먼저 새어 나갔고, 10월 21일 기준으로 공개된 공격 코드나 실제 피해 사례는 확인되지 않았습니다. 다만 내용이 이미 퍼진 만큼 워드프레스 사이트도 언제든 노려질 수 있으니, 버전 확인은 미루지 않는 편이 좋습니다. 자세한 내용은 PHP 공식 보안 공지에 있습니다.
PHP 개발팀은 메모리 설정 등 임시로 위험을 줄이는 방법도 함께 안내했지만, 이 방법만으로 안전해지지는 않는다고 적었습니다. 그래서 PHP 버전을 고친 버전으로 올려야 합니다.
2. 내 사이트 PHP 버전 확인하기
워드프레스 관리자 화면에서 바로 확인할 수 있습니다.
- 관리자 화면 왼쪽 메뉴에서 도구 → 사이트 건강을 누릅니다.
- 위쪽의 정보 탭을 누릅니다.
- 서버 항목을 펼치면 PHP 버전 줄에 숫자가 나옵니다.
관리자 화면에 들어가기 어렵다면 호스팅 업체 관리 화면에서도 볼 수 있습니다. 메뉴 이름은 업체마다 다르지만, 대개 「PHP 버전」이나 「PHP 설정」 항목에 있습니다.
3. 버전별로 해야 할 일
확인한 숫자를 아래 표와 맞춰 보세요.
| 지금 버전 | 해야 할 일 |
|---|---|
| 같은 계열에서 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35 이상 | 이미 고쳐진 버전입니다. 추가로 할 일은 없습니다. |
| 8.2~8.5인데 위 숫자보다 낮음 | 같은 계열 안에서 최신으로 올립니다. 8.3.20이라면 8.3.36으로 올리는 식입니다. |
| 8.1 이하 (8.0, 7.4 등) | 공식 업데이트가 나오지 않는 버전입니다. 플러그인·테마 호환을 확인한 뒤 8.2 이상으로 옮깁니다. |
8.1 이하에서 옮길 버전을 고른다면 8.3 이상을 권합니다. 워드프레스가 공식 권장 사양으로 PHP 8.3 이상을 안내하고 있고, 8.2는 2026년 12월 31일에 보안 지원이 끝나기 때문입니다.
호스팅 업체에 따라 리눅스 배포판 패키지로 PHP를 쓰는 경우가 있습니다. 이때는 버전 숫자는 그대로 두고 고친 내용만 넣기도 해서, 숫자만으로는 판단이 어렵습니다. 호스팅 업체에 이번 PHP2Shell 보안 업데이트가 반영됐는지 직접 물어보는 것이 가장 확실합니다.
4. 버전을 올릴 때 깨질 수 있는 곳
같은 계열 안에서 올리는 경우(8.3.20 → 8.3.36)는 보안 수정 위주라 문제가 거의 생기지 않습니다. 조심할 것은 8.1 이하에서 8.2 이상으로 크게 옮기는 경우입니다.
- 오래된 플러그인: 몇 년째 업데이트가 없는 플러그인은 새 PHP에서 사라진 함수를 쓰고 있을 수 있습니다. 이 경우 화면이 하얗게 비거나 HTTP 500 오류가 납니다.
- 오래된 테마: 테마 안에 직접 짠 코드가 있으면 같은 문제가 생깁니다. 레이아웃이 어긋나거나 일부 화면만 안 열리기도 합니다.
- 직접 고친 코드: 예전에 사이트에 직접 붙여 넣은 코드가 있다면, 그 코드도 새 PHP에서 문제를 일으킬 수 있습니다.
크게 옮길 때는 백업과 호환 확인을 먼저 해 둬야 문제가 생겨도 되돌릴 수 있습니다. 사이트마다 걸리는 곳이 달라서, 저희는 이런 순서로 가려 가며 옮깁니다.
- 사이트 전체를 백업합니다. (백업·복원 방법)
- 플러그인·테마를 최신으로 업데이트합니다.
- 쓰고 있는 플러그인이 몇 년째 업데이트가 없다면, 옮기기 전에 꼭 짚어 봐야 합니다.
- PHP 버전을 올린 뒤 첫 화면, 글 화면, 문의 양식, 결제 화면처럼 자주 쓰는 화면을 하나씩 열어 봅니다.
업데이트 뒤에 화면이 깨졌다면 업데이트 후 오류 해결 글을 참고하세요.
PHP 버전 올리기, 맡겨 주셔도 됩니다
PHP 버전 올리기와 호환 점검을 맡아 해드립니다. 버전을 올린 뒤에도 자주 쓰는 화면이 그대로 열리는지까지 살펴드립니다. 궁금하신 점을 문의 남기기에 적어 주시면 상담해드립니다.
- 이미 버전을 올렸는데 화면이 깨졌거나 오류가 난다면 워드프레스 오류 수정 서비스로 고쳐드립니다. 스탠다드 39,000원 · 디럭스 89,000원 · 프리미엄 189,000원이며, 진단 후 등급을 확정합니다.
- 앞으로 업데이트를 꾸준히 맡기고 싶다면 워드프레스 케어(월 39,000원)가 있습니다. 코어·플러그인·테마 업데이트를 월 1회 일괄 적용한 뒤 화면을 점검하고, 매일 자동 백업을 받아 둡니다.