티스토리 뷰
홈페이지가 정상적으로 열리고 있다고 해서 서버 보안까지 안전한 것은 아닙니다. 웹사이트에서 로그인과 회원가입, 게시판, 상품 주문 등을 처리하는 PHP 프로그램에 심각한 보안 취약점이 발견되면서 홈페이지 운영자들의 주의가 필요해졌습니다. 특히 외부에서 서버에 접근하는 공격이 가능할 경우 단순한 화면 오류를 넘어 개인정보와 서버 운영에도 영향을 줄 수 있습니다.
PHP 개발팀은 2026년 10월 21일 인증되지 않은 공격자의 원격 코드 실행을 허용할 수 있는 치명적인 보안 취약점 두 건을 수정했다고 발표했습니다. 해당 취약점은 CVE-2026-109618과 CVE-2026-109619이며, PHP 8.2부터 8.5까지 각 버전 계열에 대한 긴급 보안 업데이트가 공개됐습니다. PHP 개발팀은 임시 방어조치만으로는 충분하지 않으며 업데이트가 필요하다고 강조했습니다.
이번 문제는 워드프레스와 자체 제작 홈페이지, PHP 기반 쇼핑몰을 운영하는 사업자에게 중요한 사안입니다. 홈페이지 제작 프로그램과 플러그인을 최신 상태로 유지했더라도 서버에서 사용하는 PHP 자체가 취약한 버전이라면 별도의 조치가 필요할 수 있습니다. 반대로 티스토리나 블로그스팟처럼 플랫폼이 서버를 직접 관리하는 서비스는 일반 이용자가 PHP를 설치하거나 업데이트하는 구조가 아닙니다.
그렇다면 내 홈페이지는 실제로 위험한 상태일까요. 먼저 확인할 사항은 PHP 버전과 보안 패치 적용 여부, 서버 운영 방식입니다. 이번 글에서는 공식 보안 발표를 바탕으로 취약점의 핵심 내용과 영향을 받는 서버 환경, PHP 버전 확인 방법, 안전한 업데이트 절차, 워드프레스 관리, 해킹 의심 시 대응 방법까지 홈페이지 운영자가 실천할 수 있는 내용을 정리했습니다.
📅 공식 보안 발표: 2026년 10월 21일
⚠️ 주요 취약점: CVE-2026-109618, CVE-2026-109619
🚨 주요 위험: 인증 없이 원격 코드 실행 가능
🛠️ 보안 수정 버전: PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
🌐 점검 대상: PHP로 웹 요청을 처리하는 서버
🏢 관련 환경: 웹호스팅·워드프레스·쇼핑몰·자체 제작 홈페이지
💾 업데이트 전 필수: 홈페이지 파일 및 데이터베이스 백업
※ 이번 취약점은 서버 설정만 변경하는 임시 조치보다 공식 보안 수정 버전을 적용하는 것이 중요합니다.
1. PHP 보안 취약점, 인증 없는 원격 코드 실행 위험
PHP는 웹사이트 서버에서 실행되는 프로그래밍 언어입니다. 이용자가 로그인하거나 게시글을 작성하고 상품을 주문할 때 서버가 필요한 정보를 처리하도록 만드는 데 사용됩니다. 워드프레스와 같은 콘텐츠 관리 시스템뿐 아니라 많은 기업 홈페이지와 웹서비스에서도 PHP를 사용하고 있습니다. 따라서 PHP 자체의 보안 문제는 특정 홈페이지 프로그램 하나에만 영향을 주는 문제가 아닐 수 있습니다.
2026년 10월 발표된 두 취약점에서 특히 중요한 부분은 인증되지 않은 공격자의 원격 코드 실행 가능성입니다. 원격 코드 실행은 공격자가 네트워크를 통해 서버에서 의도하지 않은 코드를 실행하도록 만들 수 있는 위험을 의미합니다. 실제 공격이 성공하면 서버에 저장된 정보와 홈페이지 운영 기능이 영향을 받을 수 있으며, 피해 범위는 서버의 권한 설정과 보안 상태에 따라 달라집니다.
PHP 개발팀은 이번 취약점이 PHP-FPM, Apache의 mod_php, php-cgi, FrankenPHP, LiteSpeed 등 PHP로 웹 요청을 처리하는 환경과 관련될 수 있다고 안내했습니다. 특히 mod_php 환경에서는 애플리케이션 코드가 실행되기 전에 공격이 발생할 수 있는 사례가 확인됐다고 밝혔습니다. 홈페이지 운영자는 워드프레스와 플러그인만 점검할 것이 아니라 서버의 PHP 실행 방식도 확인해야 합니다.
2. PHP 업데이트, 10월 21일 보안 수정 버전 확인
PHP 개발팀은 2026년 10월 21일 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12를 공개했습니다. 이번 업데이트는 치명적인 취약점을 수정하기 위한 보안 릴리스입니다. 따라서 해당 버전보다 이전의 PHP를 사용하고 있다면 보안 패치가 적용됐는지 확인해야 합니다. 단순히 홈페이지가 정상적으로 작동한다는 이유만으로 업데이트를 미루는 것은 바람직하지 않습니다.
다만 서버의 PHP 버전 숫자만으로 모든 보안 상태를 판단할 수는 없습니다. 일부 리눅스 배포판과 관리형 웹호스팅에서는 기존 버전 번호를 유지하면서 필요한 보안 수정사항을 별도로 반영하는 방식도 사용합니다. 이런 환경에서는 운영체제 패키지의 보안 공지와 호스팅 업체의 패치 적용 여부를 함께 확인해야 합니다. 패치가 반영됐는지 확인되지 않는다면 관리 업체에 직접 문의하는 것이 안전합니다.
PHP 8.2는 2026년 12월 31일 보안 지원이 종료될 예정입니다. PHP 8.3은 2027년 말, PHP 8.4는 2028년 말, PHP 8.5는 2029년 말까지 보안 지원 일정이 안내돼 있습니다. 따라서 PHP 8.2를 사용한다면 이번 긴급 업데이트뿐 아니라 장기적으로 지원이 유지되는 버전으로 이전할 계획도 마련하는 것이 좋습니다. 버전 변경 전에는 홈페이지 프로그램과 플러그인의 호환성을 확인해야 합니다.
| PHP 계열 | 10월 보안 수정 버전 | 보안 지원 종료 |
|---|---|---|
| 8.2 | 8.2.35 | 2026.12.31 |
| 8.3 | 8.3.36 | 2027.12.31 |
| 8.4 | 8.4.27 | 2028.12.31 |
| 8.5 | 8.5.12 | 2029.12.31 |
※ 2026년 10월 24일 기준 PHP 공식 발표 및 지원 일정입니다. 이후 새로운 버전이 나오면 공식 홈페이지의 최신 정보를 우선해야 합니다.
3. PHP 버전 확인, 웹호스팅과 서버 점검 순서
일반적인 웹호스팅 이용자는 먼저 호스팅 업체의 관리화면에 로그인하면 됩니다. 서비스마다 메뉴 이름은 다르지만 PHP 설정, 서버 환경, 웹사이트 관리, 호스팅 정보 등에서 사용 중인 PHP 버전을 확인할 수 있습니다. 일부 업체는 PHP 버전을 직접 변경할 수 있는 기능도 제공합니다. 그러나 긴급 보안 패치가 자동으로 적용되는지는 업체별로 다를 수 있으므로 업데이트 공지를 함께 확인해야 합니다.
워드프레스 이용자는 관리자 화면의 도구 메뉴에서 사이트 건강 상태를 열고 정보 항목을 확인할 수 있습니다. 이곳에서 서버 관련 정보와 PHP 버전을 확인할 수 있으며, 홈페이지 운영 환경에 대한 기본적인 진단도 가능합니다. 다만 워드프레스 관리자 화면에서 버전을 확인했다고 해서 PHP 보안 패치까지 적용된 것은 아닙니다. 실제 서버 업데이트 권한이 호스팅 업체에 있다면 해당 업체의 조치가 필요합니다.
직접 서버를 운영하는 경우에는 서버에 설치된 PHP 패키지와 실제 웹 요청을 처리하는 PHP 실행 환경을 함께 점검해야 합니다. 명령줄에서 확인되는 버전과 웹서버에서 사용하는 버전이 다를 수도 있기 때문입니다. 서버 진단을 위해 PHP 환경정보를 출력하는 페이지를 만들었다면 점검 후 삭제해야 합니다. 공개된 진단 페이지는 서버 설정과 경로 등 불필요한 정보를 외부에 노출할 수 있습니다.
① 웹호스팅 관리화면 또는 서버 관리자 화면 접속
② 현재 사용 중인 PHP 버전 확인
③ PHP 실행 방식과 보안 패치 적용 여부 확인
④ 홈페이지 파일과 데이터베이스 백업
⑤ 공식 보안 수정 버전 적용 또는 업체에 업데이트 요청
⑥ 업데이트 후 홈페이지 주요 기능과 오류기록 점검
4. 워드프레스 보안, 플러그인과 서버 업데이트 구분
워드프레스 홈페이지는 PHP 서버 위에서 작동하는 대표적인 콘텐츠 관리 시스템입니다. 따라서 보안 관리는 워드프레스 프로그램과 서버 PHP를 구분해 진행해야 합니다. 워드프레스 본체를 최신 버전으로 업데이트했더라도 서버에 설치된 PHP가 취약한 상태라면 이번 보안 문제에 대한 별도의 대응이 필요합니다. 반대로 PHP를 업데이트하더라도 오래된 플러그인에서 발생하는 취약점까지 자동으로 해결되지는 않습니다.
워드프레스 관리자는 사용 중인 테마와 플러그인의 업데이트 상태를 확인하고, 더 이상 사용하지 않는 프로그램은 정리하는 것이 좋습니다. 특히 오랫동안 업데이트가 중단된 플러그인은 유지보수 상태와 대체 가능성을 검토해야 합니다. 다만 플러그인을 삭제하거나 PHP 버전을 변경하면 홈페이지 디자인과 예약, 결제, 회원가입 기능에 영향을 줄 수 있으므로 사전 백업과 기능 점검이 필요합니다.
관리형 워드프레스 호스팅을 이용한다면 서버 PHP와 워드프레스 프로그램의 업데이트 책임이 누구에게 있는지 확인해야 합니다. 일부 업체는 서버 프로그램을 자동으로 관리하지만 테마와 플러그인은 홈페이지 운영자가 직접 업데이트하도록 안내합니다. 관리 범위를 정확하게 구분하지 않으면 서로 상대방이 조치할 것이라고 생각하는 사이 보안 업데이트가 누락될 수 있습니다.
5. 해킹 예방, 관리자 계정과 파일 업로드 보호
PHP 보안 업데이트와 함께 관리자 계정 보호도 강화해야 합니다. 홈페이지 관리자 계정의 비밀번호를 다른 서비스와 동일하게 사용하면 외부에서 유출된 로그인 정보가 홈페이지 공격에 악용될 수 있습니다. 관리자 계정에는 고유하고 충분히 긴 비밀번호를 사용하고 가능하다면 다중인증을 적용하는 것이 좋습니다. 사용하지 않는 관리자 계정과 불필요하게 높은 권한도 정리해야 합니다.
파일 업로드 기능은 게시판과 쇼핑몰에서 특히 주의해야 할 부분입니다. 이미지나 첨부파일을 받는 기능이 있다면 허용하는 파일 형식과 크기를 제한하고, 업로드한 파일이 서버에서 프로그램으로 실행되지 않도록 설정해야 합니다. 파일 이름의 확장자만 확인하는 방식은 충분하지 않을 수 있으므로 실제 파일 형식과 저장 위치, 실행권한을 함께 관리하는 것이 중요합니다.
웹방화벽과 비정상 접속 차단, 서버 접근기록 모니터링도 추가적인 보호수단으로 활용할 수 있습니다. 다만 이번 PHP 보안 발표에서는 완전한 임시 완화조치가 없으며 업데이트가 안전한 대응이라고 안내했습니다. 따라서 웹방화벽을 사용하고 있다는 이유로 PHP 보안 패치를 미뤄서는 안 됩니다. 여러 보안조치를 함께 적용하되 핵심은 취약한 프로그램을 수정하는 것입니다.
① PHP와 운영체제의 보안 업데이트 확인
② 워드프레스·테마·플러그인 최신 상태 유지
③ 관리자 계정 비밀번호 변경 및 다중인증 적용
④ 사용하지 않는 계정과 프로그램 삭제
⑤ 파일 업로드 제한과 서버 실행권한 점검
⑥ 홈페이지와 데이터베이스 정기 백업
⑦ 관리자 로그인 기록과 서버 오류기록 확인
6. 서버 업데이트, 백업부터 정상 작동 확인까지
PHP 버전을 변경하기 전에는 홈페이지 파일과 데이터베이스를 반드시 백업해야 합니다. 오래된 프로그램이나 자체 개발한 PHP 코드가 새로운 버전에서 정상적으로 작동하지 않을 수 있기 때문입니다. 가능하다면 실제 운영 서버와 분리된 테스트 환경에서 먼저 업데이트를 적용하고 홈페이지 접속과 로그인, 게시판, 주문, 결제 등 중요한 기능이 정상적으로 작동하는지 확인하는 것이 좋습니다.
백업파일은 홈페이지가 운영되는 서버와 분리된 안전한 장소에 보관하는 것이 좋습니다. 운영 서버에 장애가 발생하거나 공격자가 서버에 접근하면 같은 서버에 저장된 백업도 영향을 받을 수 있기 때문입니다. 또한 백업파일이 실제로 복원 가능한지 주기적으로 확인해야 합니다. 백업을 만들어 두었다는 사실만으로 복구가 보장되는 것은 아닙니다.
보안 업데이트가 끝나면 실제 웹 요청을 처리하는 PHP 버전이 변경됐는지 다시 확인해야 합니다. 일부 서버는 업데이트 후 PHP 실행 서비스나 웹서버를 재시작해야 변경사항이 적용될 수 있습니다. 이후 오류기록과 접속기록을 점검하고 홈페이지의 주요 기능을 테스트해야 합니다. 이미 침해된 서버라면 업데이트만으로 공격자가 남긴 파일이나 계정이 자동으로 제거되는 것은 아니라는 점도 기억해야 합니다.
7. 보안사고 대응, 홈페이지 해킹 의심 시 확인사항
홈페이지가 갑자기 다른 사이트로 이동하거나 알 수 없는 광고가 나타나고, 관리자 계정이 변경되거나 서버에서 예상하지 못한 파일이 발견된다면 침해 가능성을 점검해야 합니다. 다만 이러한 증상이 없더라도 서버가 안전하다고 단정할 수는 없습니다. 공격 흔적이 눈에 띄지 않는 경우도 있으므로 정기적인 접속기록과 파일 변경 내역 확인이 중요합니다.
침해가 의심된다면 먼저 추가 피해를 막을 수 있도록 관리자 접근을 제한하고 필요할 경우 서비스를 일시 중단하는 방안을 검토해야 합니다. 동시에 서버 로그와 관련 파일을 보존하고 호스팅 업체 또는 보안 전문가에게 분석을 요청하는 것이 좋습니다. 의심 파일을 무작정 삭제하거나 서버를 초기화하면 침해 원인을 확인하는 데 필요한 자료가 사라질 수 있으므로 주의해야 합니다.
관리자 비밀번호와 데이터베이스 접속정보, API 인증정보 등이 유출됐을 가능성이 있다면 안전한 환경에서 변경해야 합니다. 개인정보 유출이 확인됐다면 관련 법령에 따른 신고와 이용자 통지 의무도 검토해야 합니다. 국내 홈페이지 운영자는 한국인터넷진흥원 보호나라에서 보안 공지와 침해사고 대응 관련 정보를 확인할 수 있습니다. 사고 발생 후에는 원인 제거와 보안 업데이트, 안전한 백업 복원 여부를 함께 검토해야 합니다.
8. PHP 보안 FAQ, 홈페이지 운영자가 궁금한 질문
Q1. PHP 취약점이 발견되면 모든 홈페이지가 해킹된 것인가요?
아닙니다. 취약점이 존재한다는 사실과 실제 침해가 발생했다는 사실은 다릅니다. 다만 영향을 받는 환경이라면 신속하게 보안 패치를 적용해야 합니다.
Q2. PHP 8.4를 사용하면 이번 보안 문제에서 안전한가요?
PHP 8.4 계열이라도 이번 보안 수정 전 버전은 영향을 받을 수 있습니다. PHP 8.4.27 또는 해당 보안 수정이 반영된 패키지인지 확인해야 합니다.
Q3. 워드프레스를 업데이트하면 PHP 취약점도 해결되나요?
아닙니다. 워드프레스와 PHP는 별도로 관리해야 합니다. 홈페이지 프로그램을 업데이트했더라도 서버 PHP의 보안 패치 적용 여부를 확인해야 합니다.
Q4. 웹호스팅을 이용하면 PHP 업데이트를 직접 해야 하나요?
호스팅 서비스에 따라 다릅니다. 업체가 자동으로 관리하는 경우도 있으므로 현재 PHP 버전과 보안 패치 적용 여부를 확인하고 필요하면 업체에 문의해야 합니다.
Q5. 웹방화벽만 설치하면 이번 취약점을 막을 수 있나요?
완전한 대응책으로 볼 수 없습니다. PHP 개발팀은 이번 취약점에 대해 보안 수정 버전으로 업데이트하는 것이 안전한 조치라고 안내했습니다.
Q6. 티스토리와 블로그스팟 이용자도 PHP를 직접 업데이트해야 하나요?
일반적인 티스토리와 블로그스팟 이용자는 플랫폼 서버를 직접 관리하지 않습니다. 별도로 PHP 기반 홈페이지나 웹서버를 운영하는 경우에는 해당 서버의 보안 상태를 확인해야 합니다.
PHP 개발팀은 2026년 10월 21일 인증 없이 원격 코드 실행이 가능할 수 있는 두 건의 치명적인 취약점을 수정했습니다. PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12가 보안 수정 버전으로 발표됐으며 PHP 기반 홈페이지 운영자는 해당 업데이트 또는 배포판의 보안 패치 적용 여부를 확인해야 합니다.
워드프레스와 쇼핑몰을 운영한다면 서버 PHP뿐 아니라 홈페이지 제작도구와 테마, 플러그인도 함께 관리해야 합니다. 업데이트 전에는 홈페이지 파일과 데이터베이스를 백업하고, 업데이트 후에는 로그인과 게시판, 결제 등 주요 기능을 확인하는 것이 좋습니다. 관리형 웹호스팅을 이용한다면 업체의 보안 패치 적용 여부를 확인해야 합니다.
관리자 계정의 다중인증과 파일 업로드 제한, 정기 백업, 서버 기록 점검도 중요한 보안수칙입니다. 웹방화벽과 접속 제한은 추가 보호수단으로 활용할 수 있지만 이번 PHP 취약점에 대한 공식 보안 업데이트를 대신하지는 못합니다. 홈페이지에 이상 징후가 발견되면 관련 기록을 보존하고 전문적인 분석을 통해 침해 여부를 확인해야 합니다.
이번 PHP 보안 취약점은 홈페이지가 정상적으로 작동하고 있더라도 서버 프로그램의 보안 상태를 정기적으로 확인해야 한다는 점을 보여줍니다. 개인 홈페이지와 소규모 쇼핑몰도 서버 취약점의 영향을 받을 수 있으므로 운영 규모와 관계없이 보안 공지와 업데이트 상태를 확인하는 것이 좋습니다.
특히 PHP 8.2를 사용하는 홈페이지는 2026년 말 보안 지원 종료 일정까지 고려해야 합니다. 단기적으로는 긴급 보안 패치를 적용하고 장기적으로는 지원이 유지되는 PHP 버전으로 이전하는 계획을 마련하는 것이 좋습니다. 서버 관리가 익숙하지 않다면 임의로 설정을 변경하기보다 호스팅 업체나 관리 담당자에게 업데이트와 호환성 점검을 요청하는 것이 안전합니다.
🔐 PHP 보안 취약점 확인과 홈페이지 보호 방법이 도움이 되셨다면 공감 한 번 눌러주세요!