티스토리 뷰
뉴스에서 갑자기 PHP 보안 취약점 이야기가 쏟아지고 있습니다.
"전 세계 웹사이트 70%가 위험하다", "정부·기업 비상" 같은 제목을 보면 덜컥 겁이 나지만,
정작 PHP가 뭔지부터 잘 모르는 분이 많습니다.
이 글에서는 PHP가 무엇인지부터 이번에 발견된 PHP2Shell 취약점이 왜 위험한지,
그리고 내 홈페이지나 쇼핑몰은 무엇을 확인해야 하는지까지 쉽게 정리합니다.
PHP란? 초보자도 이해하는 쉬운 설명
PHP는 웹사이트를 만드는 데 쓰는 프로그래밍 언어입니다.
우리가 웹사이트에서 로그인하고, 글을 쓰고, 장바구니에 물건을 담을 때 그 요청을 서버에서 처리해 화면을 만들어 주는 역할을 합니다.
식당에 비유하면, 손님(방문자)이 주문을 넣으면 주방(서버)에서 요리를 만들어 내보내는 요리사가 바로 PHP입니다.
PHP는 1990년대부터 쓰인 오래된 언어라 전 세계에 아주 널리 퍼져 있습니다.
보도에 따르면 전 세계 웹사이트의 약 70%가 PHP를 사용합니다.
PHP로 만든 대표적인 서비스
- 워드프레스(WordPress) - 전 세계에서 가장 많이 쓰는 홈페이지·블로그 제작 도구
- 그누보드 - 국내 커뮤니티·게시판 사이트에서 많이 쓰는 솔루션
- 오래된 쇼핑몰·기업 홈페이지 - 외주로 제작한 사이트 상당수
- 장비 관리 페이지 - 공유기·NAS 같은 장비의 관리 화면 일부
PHP 보안 취약점 PHP2Shell이란? 무엇이 문제인가
2026년 10월 21일, PHP 개발팀은 PHP 자체에서 발견된 치명적인 보안 취약점 2건을 고치는 긴급 업데이트를 발표했습니다.
보안업계에서는 이 취약점을 'PHP2Shell'이라고 부릅니다.
| 구분 | 내용 |
|---|---|
| 이름 | PHP2Shell |
| 취약점 번호 | CVE-2026-109618, CVE-2026-109619 |
| 위험도 | 9.2점 (CVSS 4.0, 10점 만점) |
| 위험 내용 | 로그인 없이 외부에서 서버를 원격 조종(원격 코드 실행) |
| 패치 공개 | 2026년 10월 21일 |
| 패치 버전 | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 |
왜 이렇게 위험한가요?
대부분의 해킹은 아이디·비밀번호를 알아내거나 관리자 권한을 얻어야 가능합니다.
그런데 이번 PHP 취약점은 로그인 없이도 공격자가 서버에서 원하는 명령을 실행할 수 있는 유형입니다.
쉽게 말해 식당 주방 뒷문이 잠기지 않은 채 열려 있어서, 낯선 사람이 들어와 마음대로
요리를 바꾸거나 금고를 열 수 있는 상황과 비슷합니다.
서버가 장악되면 개인정보 유출, 악성코드 유포, 사이트 변조로 이어질 수 있습니다.
왜 패치가 하루 앞당겨졌나요?
PHP 개발팀은 원래 10월 22일에 업데이트를 공개할 계획이었습니다.
그런데 10월 20일 취약점 정보가 먼저 외부로 새어 나가자 공개를 하루 앞당겨 21일에 패치를 내놓았습니다.
PHP 보안 취약점, 실제 공격이 일어나고 있나요?
해외 보안업체들의 발표를 보면 상황이 빠르게 움직이고 있습니다.
- 클라우드플레어(Cloudflare)는 초기 공격 시도를 확인했으며, 무료 이용자를 포함한 모든 고객에게 방어 규칙(WAF)을 적용했다고 밝혔습니다.
- 일부 보안업체는 두 취약점을 노린 공격 시도를 관측하고 있다고 전했습니다.
- 공격 코드가 인터넷에 돌고 있다는 보고도 있지만, 실제로 작동하는지는 아직 검증되지 않았습니다.
국내에서는 안랩이 긴급 공지를 내고 원격 코드 실행 위험을 경고했습니다.
화이트해커 기업 티오리의 박세준 대표는 "그누보드를 쓰는 사이트나 오래된 쇼핑몰처럼
PHP 5·7 같은 구형 버전을 쓰는 곳이 국내에 많아 각별한 주의가 필요하다"고 말했습니다.
PHP 구버전 사용자는 더 위험합니다
이번 PHP 보안 취약점에서 가장 걱정되는 부분은 오래된 버전입니다.
| PHP 버전 | 상황 |
|---|---|
| 8.2 ~ 8.5 | 공식 패치 공개 → 즉시 업데이트 |
| 7.4 ~ 8.1 | 공식 업데이트 없음, 소스 수정본만 제공 |
| 5.4 ~ 7.3 | 지원 종료로 패치 없음 → 최신 버전으로 전환 필요 |
오래전에 외주로 만들고 관리하지 않은 홈페이지가 바로 이런 구버전을 쓰는 경우가 많습니다.
보안업계에서 "방치한 홈페이지가 해킹 통로가 될 수 있다"고 경고하는 이유입니다.
내 사이트는 안전할까? 유형별 체크리스트
티스토리·네이버 블로그·블로그스팟 사용자
회사가 서버를 직접 관리하는 서비스이므로 개인 사용자가 따로 할 일은 거의 없습니다.
운영사가 서버를 업데이트합니다.
워드프레스·그누보드 등 직접 사이트를 운영하는 경우
- PHP 버전 확인 - 호스팅 관리 화면이나 개발자에게 현재 PHP 버전을 확인합니다.
- 호스팅 업체 공지 확인 - 워드프레스 업데이트와 PHP 업데이트는 별개입니다. 호스팅 업체가 PHP를 언제 업데이트하는지 확인하세요.
- 패치 버전으로 업데이트 - 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 이상으로 올립니다.
- 구버전이면 전환 계획 - PHP 5·7을 쓰고 있다면 지원되는 버전으로 옮겨야 합니다.
외주로 만든 쇼핑몰·회사 홈페이지
- 제작 업체나 유지보수 업체에 PHP 버전과 패치 여부를 바로 문의합니다.
- 당장 조치가 어렵다면 패치 전까지 외부 접속 차단을 검토합니다.
- 쓰지 않는 오래된 사이트는 이번 기회에 정리(폐쇄)하는 것이 가장 안전합니다.
※ 서버 담당자라면 업데이트 후 PHP 프로세스를 재시작해야 적용됩니다.
임시 설정 변경은 완전한 대책이 아니며,
패치 적용만이 확실한 해결책이라고 PHP 개발팀은 밝혔습니다.
PHP 보안 취약점 자주 묻는 질문 (FAQ)
Q1. 일반 인터넷 사용자도 피해를 볼 수 있나요?
내 컴퓨터가 직접 해킹되는 취약점은 아닙니다. 다만 내가 가입한 사이트가 공격받으면 개인정보가 유출될 수 있으니, 수상한 문자나 메일은 조심하고 비밀번호를 사이트마다 다르게 쓰는 것이 좋습니다.
Q2. 워드프레스를 최신으로 업데이트했으면 괜찮나요?
아닙니다. 이번 문제는 워드프레스가 아니라 그 밑에서 돌아가는 PHP의 문제입니다. PHP 버전을 따로 확인해야 합니다.
Q3. 국내 공식 권고는 나왔나요?
글 작성 시점 기준으로 안랩 등 보안업체의 긴급 공지가 나왔습니다. 한국인터넷진흥원(KISA) 보호나라의 보안공지도 함께 확인하시기 바랍니다.
마무리: PHP 보안 취약점, 오늘 버전부터 확인하세요
핵심을 다시 정리합니다.
- ✅ PHP는 전 세계 웹사이트 약 70%가 쓰는 웹 프로그래밍 언어입니다.
- ✅ PHP2Shell은 로그인 없이 서버를 원격 조종할 수 있는 위험도 9.2점의 취약점입니다.
- ✅ 패치 버전은 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12입니다.
- ✅ PHP 5·7 구버전은 패치가 없으니 최신 버전 전환이 필요합니다.
- ✅ 티스토리·네이버 블로그 사용자는 따로 조치할 필요가 거의 없습니다.
직접 운영하는 홈페이지나 쇼핑몰이 있다면
오늘 바로 호스팅 업체나 개발자에게 PHP 버전을 확인해 보세요.
주변에 사이트를 운영하는 지인이 있다면 이 글을 공유해 주시는 것도 큰 도움이 됩니다.
▶ 함께 보면 좋은 글: (PHP 취약점 관련주·보안주 정리 관련 글 제목) (링크 삽입)