PHP 8.1 이하를 쓰고 있다면? PHP2Shell 이후 선택지

WindowsMac업데이트 2026-10-24

PHP 개발팀의 지원 종료 목록에 따르면 PHP 8.1은 2025년 12월 31일에 지원이 끝났고, 마지막 릴리스는 8.1.34입니다. PHP 개발팀이 2026년 10월 21일 심각한 취약점 두 가지를 고쳤을 때, 8.1과 그 이전 버전용 새 릴리스는 나오지 않았습니다. 이 글은 2026년 10월 23일 기준 정보입니다.

간단한 답변

2026년 10월 23일 기준으로 보안 수정을 받는 버전은 PHP 8.2, 8.3, 8.4, 8.5뿐이고, 8.2도 2026년 12월 31일에 끝납니다. 사이트가 8.1 이하라면 호스팅 업체에 백포트 수정이 적용되었는지 묻고, CMS와 플러그인을 업데이트한 뒤 지원 버전으로 옮기세요. KISA는 8.3 이상으로 전환하라고 권장합니다.

지금 보안 수정을 받는 PHP 버전은?

PHP 개발팀의 지원 버전 페이지에는 네 계열이 있습니다. 각 계열은 첫 안정 릴리스부터 2년 동안 전체 지원을 받고, 그다음 2년 동안은 심각한 보안 문제만 수정됩니다. 그 기간이 지나면 지원이 종료되어 더 이상 지원되지 않는다고 페이지는 설명합니다.

계열	전체 지원 종료	보안 수정 종료
8.2	2024년 12월 31일	2026년 12월 31일
8.3	2025년 12월 31일	2027년 12월 31일
8.4	2026년 12월 31일	2028년 12월 31일
8.5	2027년 12월 31일	2029년 12월 31일

PHP 8.1, 8.0, 7.4는 언제 지원이 끝났나요?

PHP 개발팀의 지원 종료 목록은 다음 날짜와 마지막 릴리스를 적고 있습니다.

PHP 8.1: 2025년 12월 31일, 마지막 릴리스 8.1.34
PHP 8.0: 2023년 11월 26일, 마지막 릴리스 8.0.30
PHP 7.4: 2022년 11월 28일, 마지막 릴리스 7.4.33

지원 버전 페이지는 지원이 끝난 릴리스를 쓰는 사람은 패치되지 않은 보안 취약점에 노출될 수 있으므로 가능한 한 빨리 업그레이드해야 한다고 말합니다.

10월 21일 권고문은 구버전에 대해 뭐라고 하나요?

권고문은 PHP 8.1 이하가 더 이상 PHP 개발팀의 업데이트를 받지 못한다고 말합니다. 이어서 일부 리눅스 배포판과 장기 지원(LTS) 업체가 백포트 수정을 제공하니 해당 업체에 문의하거나 지원 버전으로 업그레이드하라고 안내합니다. 백포트 수정이란 새 버전의 보안 수정을 구버전에 옮겨 적용한 것을 말합니다.

권고문은 또 취약점이 심각한 만큼 PHP 보안팀이 PHP 7.4, 8.0, 8.1용 최소한의 소스 패치를 공개했다고 밝힙니다. 이 패치는 PHP를 소스에서 직접 빌드하거나 LTS 업체를 이용할 수 없는 사람을 돕기 위한 것이라고 합니다. 7.4, 8.0, 8.1의 새 릴리스는 권고문에 없습니다.

지원 계열의 수정 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다. 내 버전을 찾아 비교하는 방법은 PHP 버전 확인 방법에 있습니다.

KISA는 구버전에 대해 뭐라고 하나요?

KISA는 10월 22일 보안공지에서 PHP 8.1 이하는 공식 업데이트가 제공되지 않으므로 지원 버전으로 전환하라고 권고했습니다. 전환에 시간이 걸린다면 리눅스 배포판이나 장기 지원(LTS) 업체의 보안 패치, 또는 PHP 보안팀이 공개한 7.4, 8.0, 8.1용 소스 패치를 임시로 적용하고 전환 계획을 세우라고 안내합니다.

적용할 패치가 없다면 KISA는 PHP 개발팀의 임시 설정 같은 임시 조치를 적용하고, 그것도 어렵다면 외부 접속 차단이나 서비스 일시 중단을 검토하라고 권고합니다. 미국 CISA는 더 단호합니다. 바로 업데이트할 수 없거나 PHP 8.1 이하의 지원 종료 버전을 계속 쓰는 조직은 패치나 업데이트가 끝날 때까지 PHP 기반 시스템을 오프라인으로 전환해야 한다고 말합니다.

PHP 8.2는 안전한가요? 언제 끝나나요?

PHP 8.2.35는 8.2 계열의 수정 버전입니다. php.net의 릴리스 공지는 PHP 8.2가 2026년 12월 31일에 지원이 끝나며 그 뒤로는 보안 수정을 받지 못하니, 지원 버전으로 업그레이드할 계획을 세우라고 덧붙였습니다.

그래서 8.2.35를 쓰는 사이트는 10월 21일 발표된 두 취약점에 대한 수정은 받았지만, PHP 개발팀의 보안 수정은 약 10주가 남았습니다. KISA도 PHP 8.2의 보안 지원이 2026년 12월 31일 종료될 예정이므로 8.3 이상으로 전환하라고 권장합니다. 지금 8.1에서 옮긴다면 바로 8.3 이상으로 가는 편이 두 번 옮기는 수고를 덜어 줍니다. 워드프레스의 PHP 업데이트 안내도 8.3 이상을 권장합니다.

구버전 사이트라면 어떤 선택지가 있나요?

블로그나 동호회 사이트, 작은 쇼핑몰이라면 할 일은 대개 나와 호스팅 업체가 나눠서 합니다.

호스팅 업체에 두 가지를 물어봅니다. 내 사이트는 어떤 PHP 버전을 쓰는지, 그리고 8.1 이하라면 CVE-2026-109618과 CVE-2026-109619에 대한 백포트 수정이 적용되었는지입니다. PHP 권고문은 구버전 사용자에게 업체에 문의하라고 하는데, 호스팅을 쓰는 사이트라면 그 질문은 호스팅 업체에 하면 됩니다. KISA도 호스팅 업체가 PHP를 관리한다면 업체에 조치 적용 여부를 확인하고 요청하라고 안내합니다.
사이트를 옮길 준비를 합니다. 워드프레스는 PHP를 바꾸기 전에 백업을 만들고, 알림판 > 업데이트에서 워드프레스와 테마, 플러그인을 업데이트한 뒤 사이트가 잘 동작하는지 확인하라고 안내합니다. 워드프레스 자체는 PHP 7.4에서도 동작하지만, 테마나 플러그인이 새 버전에서 동작할지는 알 수 없다고 합니다. 이 순서는 워드프레스 PHP 업데이트 방법에 정리했습니다. 다른 CMS를 쓴다면 그 CMS의 문서에서 지원하는 PHP 버전을 확인하세요.
지원 버전으로 옮깁니다. 사이트를 최신 상태로 만든 뒤 호스팅 업체에 전환을 요청하거나, 관리 화면에서 직접 바꿀 수 있다면 직접 바꿉니다. KISA는 패치를 적용할 때 호환성 문제로 서비스 장애가 생길 수 있으니 미리 영향을 검토하고 테스트한 뒤 적용하라고 권고합니다.

이 중 어느 것도 빨리 할 수 없다면, 위에서 본 것처럼 KISA와 CISA는 외부 접속 차단이나 서비스 일시 중단, 오프라인 전환을 권합니다.

자주 묻는 질문

PHP 7.4도 PHP2Shell의 영향을 받나요?

PHP 보안팀은 취약점이 심각해 7.4용 최소한의 소스 패치를 공개했지만, 7.4의 새 공식 릴리스는 없습니다. KISA도 8.1 이하는 지원 버전으로 전환하라고 권고합니다. 호스팅 업체에 백포트 수정을 적용했는지 묻고, 지원 버전으로 옮길 계획을 세우세요.

호스팅 업체가 PHP 8.1에 수정을 백포트했다고 합니다. 그걸로 충분한가요?

PHP 권고문은 일부 배포판과 LTS 업체가 백포트 수정을 제공하니 그 업체에 확인하라고 하므로, 확인해 줄 곳은 호스팅 업체입니다. 다만 KISA는 백포트 패치를 임시로 적용하고 지원 버전으로 옮길 전환 계획을 세우라고 안내합니다. 8.1 계열 자체는 이미 지원이 끝났습니다.

새 PHP 버전으로 옮기면 사이트가 깨지나요?

그럴 수 있어서 순서가 중요합니다. 워드프레스는 PHP 업데이트가 문제가 되지 않아야 하지만 장담할 수는 없다고 하며, 먼저 백업하고 테마와 플러그인을 업데이트하라고 합니다. 백업을 되돌리려면 호스팅 업체가 PHP도 지금 버전으로 되돌려 줘야 한다고도 적고 있습니다.

2026년 12월 31일 이후 PHP 8.2는 어떻게 되나요?

PHP 개발팀은 8.2가 그날 이후 보안 수정을 받지 못한다며 지원 버전으로 업그레이드할 계획을 세우라고 합니다. 그때부터 8.2도 8.1 이하처럼 지원되지 않는 버전이 됩니다.