PHP 보안 업데이트, 워드프레스만 하면 끝?

홈페이지·쇼핑몰 운영자는 무엇부터 확인하나요?

PHP는 서버에서 웹사이트의 기능을 실행하는 데 쓰이는 소프트웨어입니다. 방문자가 페이지를 열거나 로그인·주문을 요청할 때 서버가 그 요청을 처리하는 과정에 사용될 수 있습니다. 화면 디자인이나 브라우저 앱과는 별개입니다.

직접 설치형 워드프레스나 PHP 기반 쇼핑몰을 운영한다면 호스팅사 또는 서버 관리 담당자에게 현재 웹사이트가 어떤 PHP로 실행되는지 물어보세요. 제작 대행사에 맡긴 사이트도 서버 관리 주체가 누구인지 확인하면 됩니다. 임대형 서비스라서 이용자가 PHP를 직접 관리하지 않는 경우에는 서비스 업체의 보안 조치 안내를 확인하세요.

PHP 공식 경고 대상에는 PHP-FPM, Apache의 mod_php, CGI, FrankenPHP, LiteSpeed 등 웹 요청을 처리하는 환경이 포함됩니다. 이 이름을 보고 운영자가 공격 가능성을 스스로 판정할 필요는 없습니다. PHP 공식 안내를 담당자에게 전달하고 자신의 실행 환경에 적용되는지 확인하는 것이 우선입니다.

‘주의’ 경보면 내 사이트가 해킹됐다는 뜻인가요?

경보 상향은 경각심을 높이고 선제 대응을 촉구하는 조치입니다. 개별 사이트의 침해 사실을 확정하는 통지는 아닙니다. 이번 두 취약점은 CVE-2026-109618·CVE-2026-109619로, PHP가 웹 요청을 처리할 때 메모리를 다루는 과정의 문제입니다.

PHP는 Apache의 mod_php 환경에서 인증 없는 원격 코드 실행의 영향이 입증됐다고 밝혔습니다. PHP-FPM·CGI·FrankenPHP·LiteSpeed 등 웹 요청을 처리하는 환경도 경고 대상에 포함됩니다. 다만 공격 성립 조건과 입증 범위가 환경마다 같다는 뜻은 아닙니다.

‘우리 사이트는 다른 실행 방식이니 안전하다’고 단정하거나, 확인을 위해 출처 불명의 공격 시험 파일을 내려받아 실행하지 마세요. PHP 공식 공지를 관리 담당자에게 전달해 수정 반영 여부를 확인하는 것이 우선입니다.

PHP 보안 업데이트, 버전 숫자만 보면 될까요?

KISA와 PHP가 안내한 계열별 수정 버전은 아래와 같습니다. 같은 계열 안에서 해당 버전 이상인지 확인하는 기준이며, 호환성 검토 없이 무조건 다른 계열로 바꾸라는 뜻은 아닙니다.

업체나 배포판은 기존 버전 표기를 유지하면서 보안 수정만 반영하기도 합니다. 이를 백포트라고 합니다. 관리 화면에 낮은 숫자가 보인다는 이유만으로 미패치를 확정하지 말고, 두 CVE가 수정된 패키지인지와 변경 기록 등 근거를 요청하세요. 반대로 ‘보안 관리 중’이라는 일반 안내만으로 이번 수정까지 완료됐다고 판단하지 마세요.

PHP 8.1 이하의 정상 프로젝트 보안지원은 종료됐습니다. 다만 PHP는 이번 취약점에 한해 7.4·8.0·8.1용 최소 소스 백포트를 예외 제공했다고 밝혔습니다. 이것은 구버전의 정상 지원이 재개됐다는 뜻이 아니며, 모든 호스팅에 자동 적용됐다는 뜻도 아닙니다. 업체의 장기지원·별도 패치와 지원되는 계열로 옮길 계획을 함께 확인하세요.

워드프레스를 업데이트했는데 PHP도 바뀌나요?

두 작업은 관리하는 대상이 다릅니다. 워드프레스 본체·테마·플러그인은 웹사이트의 기능을 구성하고, PHP는 서버에서 그 기능을 실행하는 환경입니다. 워드프레스 관리자에서 업데이트를 끝냈어도 호스팅의 PHP 패키지가 별도로 수정됐는지는 따로 확인해야 합니다.

사이트가 평소처럼 열리거나 보안 플러그인 경고가 없다는 사실도 서버 패치 완료의 증거가 되지는 않습니다. 홈페이지 첫 화면만 보지 말고 서버 관리 주체에게 이번 두 CVE에 대한 명시적인 답변을 받으세요.

호스팅사에 무엇을 준비해 문의하나요?

웹사이트 주소, 이용 중인 호스팅 상품, 관리 담당자 연락처와 최근 백업 시점을 정리하세요. PHP 버전이 표시되는 기존 관리자 화면이 있다면 표시값과 확인 날짜를 메모하면 됩니다. 비밀번호나 고객정보를 문의 내용에 불필요하게 첨부하지 마세요.

업데이트 전에는 파일과 데이터베이스의 백업 범위, 복구 방법, 예상 중단 시간과 호환성 확인 계획을 물어보세요. 백업 파일이 있다는 것과 실제로 복구할 수 있다는 것은 다릅니다. 관리자 로그인, 주문·결제 연동, 문의 접수처럼 서비스에 꼭 필요한 기능을 먼저 정해두면 작업 뒤 확인이 쉽습니다.

“현재 제 웹사이트의 웹 요청에 사용되는 PHP 버전·실행 방식·패키지 빌드를 확인해 주세요. CVE-2026-109618과 CVE-2026-109619 수정이 업체 백포트를 포함해 적용됐는지, 적용 근거와 시점을 알려주세요. 미적용이면 백업·복구와 호환성 확인을 포함한 업데이트 계획, 예상 중단 시간도 안내해 주세요. 작업 후 필요한 웹서비스 재시작과 실제 실행 환경의 패치 반영 여부, 침해 흔적 점검도 확인하고 싶습니다.”

1. 관리 주체를 확인합니다. 호스팅사·서버 담당자·제작 대행사 중 누가 PHP 패키지를 관리하는지 정합니다.
2. 두 CVE의 적용 여부를 묻습니다. 현재 버전 숫자와 함께 패키지 변경 기록 등 확인 근거를 요청합니다.
3. 백업·호환성과 작업 계획을 확인합니다. 필요한 경우 지원되는 PHP 계열로의 이전도 담당자와 검토합니다.
4. 반영 결과를 받습니다. 업데이트 후 필요한 웹서비스 재시작을 담당자가 수행했는지, 실제 웹 요청을 처리하는 실행 환경의 수정 반영과 주요 기능 확인 결과를 기록합니다.

업데이트 완료 답변을 받으면 무엇을 확인하나요?

작업 완료 시간, 반영된 PHP 패키지·빌드와 두 취약점의 수정 여부, 실제 웹 실행 환경에 적용됐다는 답변을 보관하세요. 설치 파일만 바뀌고 기존 실행 프로세스가 그대로 남는 경우가 없는지도 담당자가 확인하도록 요청하면 됩니다.

그다음 일반 페이지와 관리자 로그인, 문의·예약 접수 등 평소 기능을 확인합니다. 결제는 불필요한 실제 결제를 만들기보다 서비스가 제공하는 테스트 환경이나 담당자의 검증 결과로 확인하세요. 오류가 생기면 발생 시각과 증상을 기록해 담당자에게 전달하고, 임의로 PHP 계열을 계속 바꾸지 말고 정해둔 복구 절차를 따르세요.

업데이트가 완료됐다는 사실이 과거 침해 여부까지 확인했다는 뜻은 아닙니다. 정부는 이상 접속과 웹셸 등 침해 흔적도 점검하도록 당부했습니다. 웹셸은 공격자가 서버를 조작하도록 몰래 심어둔 프로그램입니다. 의심 파일이나 로그를 임의로 삭제·변경하기보다 발견 시각·증상을 기록하고, 보안 담당자와 증거 보존·조사 방법을 상의하세요. 피해가 의심되면 KISA 118 상담도 이용할 수 있습니다.

자주 묻는 질문

버전이 공식 수정 버전보다 낮으면 무조건 취약한가요?

표기만으로 확정할 수 없습니다. 업체가 같은 표기 아래 보안 수정을 백포트했을 수 있습니다. 그렇다고 수정됐다고 가정해서도 안 되므로 두 CVE의 적용 근거를 요청하세요.

PHP를 다른 최신 계열로 바로 바꾸면 되나요?

사이트·확장 기능의 호환성, 백업과 복구 계획을 먼저 확인해야 합니다. 같은 계열의 보안 수정과 다른 계열로 옮기는 작업을 구분해 담당자와 진행하세요.

호스팅을 맡겼으면 운영자가 할 일은 없나요?

패치 작업은 업체가 하더라도 운영자는 문의·완료 기록을 보관하고 주요 기능이 정상인지 확인하는 역할이 있습니다. ‘업체 관리 중’이라는 설명과 이번 두 취약점의 반영 완료 답변을 구분하세요.

공식 출처와 지금 할 일

지금은 사이트 관리 담당자에게 두 CVE가 실제 PHP 실행 환경에 반영됐는지 문의하세요. 보안 공지는 10월 21일, 정부의 ‘주의’ 경보 상향은 10월 22일 정오이며, 아래 내용은 10월 23일 확인 기준입니다. 업체별 최신 패키지 배포 상황과 개별 사이트 상태는 해당 업체의 근거로 확인해야 합니다.

• 정부 사이버위기 경보 상향·대응 안내: 10월 22일 정오 상향, 업데이트·재시작·침해 흔적 점검
• KISA PHP 제품 보안 업데이트 권고: 영향 계열·해결 버전, 보안 상담 국번 없이 118
• PHP 공식 보안 안내: 실행 환경·수정 버전·구버전 예외 백포트
• CVE-2026-109618 공식 통고 · CVE-2026-109619 공식 통고