PHP 취약점 대응, 내 홈페이지 PHP 버전 확인부터 패치까지 오늘 할 일 순서

워드프레스·카페24·가비아 등으로 홈페이지나 쇼핑몰을 운영한다면 오늘 첫 작업은 PHP 버전 확인이다. PHP 측은 한국시간 2026년 10월 21일 밤 11시 심각 취약점 2건(CVE-2026-109618, CVE-2026-109619)을 고친 패치를 공개했다. 과학기술정보통신부와 KISA는 다음 날인 22일 오후 12시 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 올렸다. 영향받는 가장 오래된 버전은 PHP 5.4이고, 그 뒤 버전도 패치 전이라면 대상이다.

심각도 점수는 CVSS 9.2로, 10점 만점 체계에서 최상위 구간이다. 워드프레스를 상대로 로그인 없이 원격에서 코드를 실행하는 공격은 2026년 8월 21일 이미 확인됐다. AI가 찾아낸 이 결함을 두고 Cloudflare CEO는 공개 직후 몇 시간 만에 해외에서 수백만 건의 악용 시도가 있었다고 밝혔다.

버전 한 줄이 대응 순서를 정한다

워드프레스 사용자는 관리자 화면의 '도구 → 사이트 건강 → 정보 → 서버' 항목에서 PHP 버전을 볼 수 있다. 카페24·가비아 같은 웹호스팅 이용자는 호스팅 관리 화면의 서버 정보 메뉴나 고객센터에서 확인한다. 서버를 직접 운영한다면 터미널에서 php -v 명령으로 나온다. 확인한 버전을 아래 표와 비교한다.

표의 버전보다 낮다면 패치 대상이다. PHP 8.1 이하는 고친 버전 자체가 나오지 않는다. 이 구간에서는 8.2 이상 지원 계열로 옮기는 수밖에 없다.

호스팅 이용자는 업체 몫과 내 몫을 나눈다

공유 웹호스팅이라면 PHP 엔진은 대개 업체가 관리한다. 업체 공지에 패치 적용 여부가 올라왔는지부터 본다. 공지가 없으면 고객센터에 "현재 서버 PHP가 패치 버전으로 올라갔는지"를 그대로 묻는다. 관리 화면에서 PHP 버전을 고를 수 있는 상품이라면 지원 계열로 직접 바꿀 수 있다.

8.1 이하에서 올릴 때는 오래된 플러그인이나 테마가 깨질 위험이 있다. 버전을 바꾸기 전에 사이트 전체와 데이터베이스를 백업해 둔다. 당장 전환이 어렵다면 KISA 권고처럼 임시 조치를 먼저 건다. 호스팅 업체에 방화벽 차단 규칙 적용을 요청하는 방식이 여기에 해당한다.

판단: PHP 8.1 이하를 쓰는 사이트라면 업데이트를 기다리기보다 전환이나 임시 조치를 먼저 하는 쪽이 낫다. 공식 패치가 나오지 않는 구간인 데다, 공개 몇 시간 만에 해외에서 수백만 건의 시도가 집계됐기 때문이다.