내 사이트도 PHP2Shell 영향을 받을까? PHP 버전 확인 방법

WindowsMac업데이트

PHP 보안팀은 2026년 10월 21일에 두 가지 심각한 취약점 CVE-2026-109618과 CVE-2026-109619를 고친 버전을 내놓았습니다. 미국 CISA는 이 취약점들이 "php2shell"로 알려져 있다고 밝혔습니다. 수정 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다. 내 사이트가 어떤 상황인지 알려면 숫자 하나, 즉 호스팅 서버가 내 사이트를 돌리는 PHP 버전만 알면 됩니다. 이 글은 2026년 10월 23일 기준 정보입니다.

간단한 답변

사이트의 PHP 버전은 워드프레스의 도구 > 사이트 건강 > 정보 > 서버, 호스팅 관리 화면, 또는 호스팅 업체 문의로 확인할 수 있습니다. PHP 권고문에 따른 수정 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다. 내 버전이 같은 계열의 수정 버전보다 낮다면 호스팅 업체에 업데이트를 요청하세요.

어떤 버전이 영향을 받고, 어떤 버전이 수정 버전인가요?

10월 21일 PHP 권고문은 이 취약점들이 웹 요청을 처리하는 모든 PHP 설치에 영향을 주며, 인증 없이 원격 코드 실행을 일으킬 수 있다고 설명합니다. 쉽게 말하면 누군가가 로그인하지 않고도 서버에서 자기 명령을 실행할 수 있다는 뜻입니다.

KISA(한국인터넷진흥원)가 10월 21일 보안공지에 정리한 영향 버전과 해결 버전은 PHP 개발팀의 발표와 같습니다.

사용 중인 버전영향받는 버전해결 버전
PHP 8.58.5.12 미만8.5.12 이상
PHP 8.48.4.27 미만8.4.27 이상
PHP 8.38.3.36 미만8.3.36 이상
PHP 8.28.2.35 미만8.2.35 이상

수정 버전과 함께 나온 릴리스 공지에는 "There are no complete mitigations, updating is the only safe choice."라고 적혀 있습니다. 완전한 완화책은 없고 업데이트만이 안전하다는 뜻입니다.

악용에 대해서는 2026년 10월 23일 기준으로 이렇습니다. CISA는 10월 21일 경보(10월 23일 개정)에서 발표 시점 기준으로 이 취약점들이 실제 환경에서 성공적으로 악용된 것을 관찰하지 못했다고 밝혔습니다. KISA는 10월 22일, 해외 보안업체를 중심으로 공격 시도가 보고되고 있다고 밝혔습니다. PHP 권고문은 흔히 쓰이는 구성인 Apache의 mod_php에 대해 실제로 동작하는 공격 방법이 확인되었다며, 이 구성의 위험을 가장 높게 봅니다.

워드프레스에서 PHP 버전을 확인하려면?

워드프레스는 사이트 건강 화면에서 PHP 버전을 보여 줍니다. 워드프레스의 "Update PHP" 안내 페이지가 알려 주는 순서는 다음과 같습니다.

  1. 워드프레스 관리자 화면에 로그인합니다.
  2. 도구 > 사이트 건강으로 이동합니다.
  3. 정보 탭을 누릅니다.
  4. 서버 항목을 펼칩니다.
  5. 아래로 내려 PHP 버전을 확인합니다.

워드프레스 문서에 따르면 정보 탭은 정보를 보여 주기만 하므로 여기서 설정을 바꿀 수는 없습니다. 사이트 건강의 상태 탭에는 PHP가 오래된 버전이라는 치명적인 문제가 표시될 수 있는데, 워드프레스는 이 항목을 보안 문제로 분류합니다.

호스팅 관리 화면이나 cPanel에서 확인하려면?

국내외 호스팅 업체마다 관리 화면이 다르고, PHP 버전을 보여 주는 메뉴 이름도 다릅니다. 이용 중인 호스팅 업체의 도움말에서 PHP 버전 메뉴를 찾아보는 것이 가장 빠릅니다.

호스팅 업체가 cPanel을 제공한다면, cPanel 문서는 MultiPHP Manager에서 도메인 목록과 각 도메인이 쓰는 PHP 버전을 볼 수 있다고 설명합니다. 이 도구는 Software 항목에 있습니다.

  1. cPanel에 로그인합니다.
  2. MultiPHP Manager를 엽니다.
  3. 목록에서 내 도메인을 찾아 PHP 버전을 확인합니다.

도메인 옆에 Inherited 표시가 있다면, cPanel 문서상 서버 관리자만 정할 수 있는 시스템 기본값을 쓰고 있다는 뜻입니다. 이때 화면에 보이는 버전도, 업데이트도 호스팅 업체가 정합니다. MultiPHP Manager가 보이지 않는다면 호스팅 업체가 이 기능을 꺼 두었을 수 있습니다. cPanel 문서는 호스팅 업체가 그렇게 할 수 있다고 설명합니다.

직접 찾을 수 없을 때는?

호스팅 업체에 물어보세요. 워드프레스의 "Update PHP" 페이지도 설정을 직접 찾을 수 없으면 호스팅 업체에 이메일을 보내라고 권하고, 최신 PHP로 옮기려면 무엇이 필요한지 묻는 이메일 양식을 제공합니다. 이번 문제라면 다음 두 가지를 물어보면 됩니다.

  1. 지금 내 사이트는 어떤 PHP 버전으로 동작하고 있나요?
  2. 2026년 10월 21일 PHP 보안 권고의 수정 버전(8.5.12, 8.4.27, 8.3.36, 8.2.35)으로 업데이트되었나요?

계정에 사이트나 도메인이 여러 개라면 각각 물어보세요. cPanel 문서에 따르면 도메인마다 다른 PHP 버전을 쓸 수 있습니다.

숫자만 보면 충분한가요?

대부분의 개인 사이트에는 버전 숫자가 출발점입니다. 다만 KISA의 10월 22일 대응 수칙에는 서버를 직접 관리하는 사람이 알아 둘 내용이 두 가지 있습니다.

  1. 명령어 php -v로 보이는 버전과 웹 서비스가 실제로 쓰는 버전이 다를 수 있으므로, 한 서버에 PHP가 여러 개 설치되어 있다면 각각 확인하라고 안내합니다.
  2. 리눅스 배포판이나 제조사가 제공하는 패키지는 보안 패치를 적용해도 버전 번호가 바뀌지 않을 수 있으므로, 패키지 변경 이력에서 CVE가 반영되었는지 확인하라고 안내합니다.

KISA는 업데이트한 뒤 PHP를 실행하는 모든 웹 서비스를 반드시 재시작하라고도 권고합니다. 재시작하지 않으면 메모리에 남은 이전 버전이 계속 동작해 여전히 취약하다는 설명입니다. 호스팅 업체가 업데이트를 했다고 하면, 재시작까지 마쳤는지 함께 물어보면 좋습니다.

수정 버전이 아니라면 어떻게 하나요?

PHP를 업데이트하거나 호스팅 업체에 요청하세요. PHP 권고문은 노출을 줄이는 임시 설정 몇 가지를 소개하지만, 그것만으로는 설치가 안전해지지 않는다고 분명히 말합니다. KISA는 바로 업데이트하기 어렵다면 임시 조치를 적용하고, 그것도 어렵다면 업데이트 전까지 외부 접속 차단이나 서비스 일시 중단을 검토하라고 권고합니다. CISA도 바로 업데이트할 수 없는 사이트는 오프라인으로 전환하라고 안내합니다.

누가 서버를 관리하느냐에 따라 방법이 다릅니다.

  1. 일반 호스팅이나 관리형 호스팅이라면 PHP는 호스팅 업체가 관리합니다. 내 사이트를 수정 버전으로, 또는 수정 버전이 있는 지원 계열로 옮겨 달라고 요청하세요.
  2. 관리 화면에서 버전을 직접 고를 수 있다면 직접 바꿀 수도 있습니다. 백업부터 하는 순서를 워드프레스 PHP 업데이트 방법에 정리했습니다.

사이트가 이미 변조된 것 같다면 홈페이지가 해킹되었을 때 대처법을 보세요.

PHP 8.1 이하를 쓰고 있다면?

PHP 개발팀은 PHP 8.1 이하가 더 이상 PHP 개발팀의 업데이트를 받지 않는다고 밝혔습니다. 일부 배포판과 장기 지원 업체가 수정 사항을 따로 반영해 제공하니 해당 업체에 문의하거나, 지원되는 버전으로 업그레이드하라고 안내합니다. PHP 보안팀은 7.4, 8.0, 8.1용 최소한의 패치도 공개했는데, PHP를 직접 빌드하는 사람을 위한 것입니다.

개인 사이트라면 호스팅 업체에 내 버전에 수정 사항을 반영했는지 직접 물어보는 것이 현실적인 방법입니다. 반영하지 않았다면 PHP 개발팀은 지원되는 버전으로 업그레이드하라고 안내합니다.

PHP 8.2.35 릴리스 공지는 PHP 8.2가 2026년 12월 31일에 지원이 끝나 그 뒤로는 보안 수정을 받지 않는다고 밝혔습니다. 그래서 8.2.35는 지금은 수정된 버전이지만 곧 더 새로운 계열로 옮겨야 합니다. KISA는 8.3 이상으로 전환을 권장하고, 워드프레스의 "Update PHP" 페이지도 PHP 8.3 이상을 권장합니다.

자주 묻는 질문

PHP 8.3.36이면 PHP2Shell은 괜찮은가요?

2026년 10월 21일 PHP 권고문에 따르면 PHP 8.3.36은 8.3 계열의 수정 버전입니다. 다른 수정 버전은 8.5.12, 8.4.27, 8.2.35입니다. 다만 PHP 개발팀은 10월 23일 별도의 작은 문제(CVE-2026-115560)에 대해, 다음 정기 버그 수정 릴리스까지 session.upload_progress.enabled를 0으로 설정하라고 권했습니다. 자세한 내용은 PHP2Shell 해설에 있습니다.

워드프레스를 최신으로 유지하면 영향이 없나요?

그렇지 않습니다. 취약점은 워드프레스가 아니라 워드프레스가 동작하는 언어인 PHP에 있고, 권고문은 웹 요청을 처리하는 모든 PHP 설치가 영향을 받는다고 말합니다. 워드프레스, 테마, 플러그인 업데이트는 여전히 좋은 습관이지만 이번 문제의 해결책은 새 PHP 버전입니다.

온라인 취약점 점검 도구나 공개된 공격 코드로 확인해 봐도 되나요?

KISA는 인터넷에 도는 PoC(개념 증명 코드) 중에는 악성코드가 숨겨진 가짜가 많다며, 취약 여부는 PoC를 실행하지 말고 버전 확인과 기록 점검으로 판단하라고 권고합니다. PHP 권고문이 주는 것도 수정 버전 목록이므로, 내 사이트의 버전이 같은 계열의 수정 버전 이상인지 확인하는 것이 핵심입니다.

호스팅 업체가 조치했다고 합니다. 더 할 일이 있나요?

사이트 건강이나 관리 화면에서 버전을 위 표와 비교해, 조치가 내 사이트에 적용되었는지 확인하세요. 도메인이 여러 개라면 하나씩 확인합니다. 업데이트 전에 사이트가 변경되었을 가능성이 있다면 KISA가 권고하는 대로 서버 기록 점검과 비밀번호 같은 인증정보 교체도 호스팅 업체와 상의하세요.

출처