PHP 보안 업데이트, 내 버전 확인부터 패치 후 점검까지
2026년 10월 21일, PHP에서 인증 없이 원격 코드 실행이 가능한 취약점 두 건(CVE-2026-109618, CVE-2026-109619, CVSS v4.0 9.2)에 대한 보안 업데이트가 배포됐습니다.
전 세계 웹사이트에서 널리 쓰이는 PHP 엔진 자체의 문제라서 워드프레스 같은 특정 프로그램에 한정되지 않습니다. PHP로 운영하는 서비스라면 모두 버전을 확인해야 합니다. 공지 이후 며칠이 지났더라도 아직 확인 전이라면 아래 순서대로 살펴보세요.
1. 내 PHP 버전부터 확인하세요
- 워드프레스: 관리자 화면의 '도구 → 사이트 건강 → 정보 → 서버'에서 확인합니다.
- 서버 접속이 가능한 경우: 터미널에서 php -v를 실행하세요. 다만 명령줄 기준 버전이라 웹사이트에 실제 적용된 버전과 다를 수 있습니다.
- 두 방법 모두 어려운 경우: phpinfo 파일을 올려 확인할 수 있습니다. 서버 정보가 노출되므로 확인 직후 반드시 삭제하세요.
확인한 버전은 이렇게 해석합니다.
- PHP 8.2~8.5: 각각 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 이상인지 확인하세요.
- PHP 8.1 이하: 이번 취약점의 영향 대상이지만 공식 보안 지원이 종료돼 공식 패치가 제공되지 않습니다. 패치가 없다고 덜 급한 것이 아니므로, 지원 버전(8.2 이상)으로 전환할 계획을 서둘러 세워야 합니다.
리눅스 배포판이 제공한 PHP는 버전 번호만으로 판단하기 어렵습니다. 번호가 낮아도 보안 수정이 반영됐을 수 있으니 배포판의 보안 공지와 패키지 변경 이력을 확인하세요. 반대로 기본 저장소가 수정된 PHP를 제공하지 않는다면, 신뢰할 수 있는 별도 저장소를 이용해 단계적으로 올리는 방법이 있습니다. 이때는 호환성을 먼저 확인하고 테스트 환경에서 검증한 뒤 적용하세요.
2. 누가 패치하나요?
패치 담당은 서버 접속 권한과 이용 상품의 관리 범위에 따라 달라집니다. 서버호스팅이나 VPS라도 직접 관리하는 상품과 운영 지원이 포함된 상품이 다를 수 있으니, 계약 내용이나 기술지원 답변으로 PHP 관리 주체, 자동 적용 여부, 작업 일정과 비용을 확인하세요.
서버 접속 권한이 없다면 직접 설정을 바꾸지 말고 권한이 있는 작업자나 호스팅 업체에 확인을 요청하세요. PHP 버전 변경은 서비스에 영향을 줄 수 있어 사전 점검 없이 진행하면 안 됩니다.
3. 임시 조치와 근본 해결은 어떻게 다른가요?
| 임시 조치 | 접속 가능한 IP 제한, 웹방화벽, 설정 변경 등으로 당장의 노출을 줄이는 대응 | 취약점이 사라지는 것이 아니며 패치를 대체하지 못합니다. 환경별 적용 가능 여부를 확인해야 합니다. |
| 근본 해결 | 지원 중인 PHP의 수정 버전 적용 | 8.1 이하는 지원 버전으로 전환해야 합니다. 현재 환경에서 어렵다면 서버 이전도 검토할 수 있습니다. |
인터넷에 노출된 서비스는 임시 조치에만 의존하지 말고 즉시 패치하는 것이 원칙입니다. 8.1 이하는 패치를 적용할 수 없지만 긴급도는 다르지 않으니, 전환이 끝날 때까지만 임시 조치를 쓰고 그 기간을 최소화하세요.
버전을 올리기 전에는 소스와 데이터베이스 백업, 문제 발생 시 되돌릴 방법, 사용 중인 프로그램의 호환성, 테스트 환경을 확인해야 합니다.
4. 패치한 뒤에는 무엇을 확인하나요?
웹사이트에 실제 적용된 PHP 버전을 다시 확인하세요. 설정 변경이나 서비스 재시작만으로 끝났다고 판단하면 안 됩니다. 주요 페이지 접속, 관리자·회원 로그인, 게시물 등록, 파일 업로드, 결제·외부 서비스 연동이 정상인지, 오류 로그나 비정상적인 트래픽 증가가 없는지도 함께 점검하세요.
자주 묻는 질문
PHP를 직접 설치하지 않았는데도 확인해야 하나요?
사이트가 PHP를 사용한다면 확인 대상입니다. 서버나 호스팅 상품에 포함돼 있을 수 있으니 실제 사용 여부를 확인하세요.
PHP 5.x도 8.4로 바로 올리면 되나요?
공식 패치가 없는 구버전이라 전환은 필요합니다. 다만 한 번에 크게 올리면 호환성 문제가 생길 수 있으니 백업과 테스트를 거쳐 단계적으로 진행하세요.
서버 관리가 어렵다면?
버전은 확인했지만 직접 패치하기 어렵거나 서버 접속 권한이 없다면, 이용 중인 상품의 관리 범위부터 확인해 보세요. PHP 패치, 지원 버전 전환, 호환성 점검, 서버 이전이 필요하다면 글로벌호스트 서버 매니지드 서비스나 기술 상담에서 문의할 수 있습니다.