PHP2Shell 이후 워드프레스 PHP 업데이트 방법

WindowsMac업데이트

PHP는 워드프레스 안에서 업데이트하는 것이 아닙니다. PHP는 호스팅 업체의 서버에서 동작하므로, 호스팅 관리 화면에서 바꾸거나 호스팅 업체에 요청해야 합니다. 2026년 10월 21일 PHP 보안 권고 이후에는 같은 계열의 수정 버전 이상으로 올려야 하며, PHP 개발팀은 업데이트만이 완전한 해결책이라고 말합니다. 이 글은 2026년 10월 23일 기준 정보입니다.

간단한 답변

먼저 사이트를 백업하고 알림판 > 업데이트에서 워드프레스, 테마, 플러그인을 업데이트합니다. 그다음 호스팅 관리 화면에서 PHP 버전을 바꿉니다. cPanel이라면 MultiPHP Manager입니다. 사이트가 잘 동작하는지 보고, 도구 > 사이트 건강 > 정보 > 서버에서 새 버전을 확인하세요. 직접 바꿀 수 없다면 호스팅 업체에 요청하세요.

왜 지금 PHP를 업데이트해야 하나요?

2026년 10월 21일 PHP 개발팀은 두 가지 심각한 취약점 CVE-2026-109618과 CVE-2026-109619를 고친 버전을 공개했습니다. 미국 CISA는 이 취약점들이 "php2shell"로 알려져 있다고 밝혔습니다. PHP 권고문은 인증 없이 원격 코드 실행이 가능하고, 웹 요청을 처리하는 모든 PHP 설치가 영향을 받는다고 설명합니다. 워드프레스는 PHP로 동작하므로, 워드프레스가 어느 버전이든 대상이 됩니다.

내 사이트의 지금 버전과 계열별 수정 버전은 PHP 버전 확인 방법에 표로 정리했습니다. 취약점 자체는 PHP2Shell 해설에서 설명합니다.

PHP를 바꾸기 전에 워드프레스를 백업하려면?

사이트의 두 부분을 모두 백업해야 합니다. 워드프레스 백업 안내에 따르면 데이터베이스에는 글과 댓글이 들어 있고, 파일에는 워드프레스 자체, 테마, 플러그인, 업로드한 파일, wp-config.php 등 나머지가 들어 있습니다. 파일을 백업해도 데이터베이스는 백업되지 않으므로 둘 다 필요합니다.

  1. 호스팅 업체가 백업 기능을 제공하는지 확인합니다.
  2. 없다면 백업 플러그인을 쓰거나, phpMyAdmin으로 데이터베이스를 내보내고 FTP로 파일을 복사합니다.
  3. 백업본은 여러 곳에 보관합니다. 워드프레스는 최근 백업을 적어도 3개에서 5개 정도, 서버와 클라우드 저장소와 내 컴퓨터처럼 서로 다른 곳에 보관하라고 권합니다.

워드프레스의 "Update PHP" 페이지는 이유를 간단히 설명합니다. 문제가 생기면 백업으로 되돌릴 수 있기 때문입니다.

워드프레스, 테마, 플러그인을 먼저 업데이트하려면?

워드프레스의 "Update PHP" 페이지는 PHP를 바꾸기 전에 모든 것을 업데이트하고 사이트가 잘 동작하는지 확인하라고 안내합니다.

  1. 워드프레스 관리자 화면에서 알림판 > 업데이트로 이동합니다.
  2. 새 워드프레스 버전이 있다면 지금 업데이트를 누릅니다. 워드프레스 문서는 그 밖에 따로 할 일은 없을 것이라고 설명합니다.
  3. 업데이트가 기다리고 있는 플러그인과 테마도 업데이트합니다.
  4. 사이트에 들어가 쇼핑 페이지나 문의 양식처럼 중요한 페이지를 직접 눌러 봅니다.

테마와 플러그인이 새 PHP에 준비되었는지 보려면, 워드프레스는 PHP Compatibility Checker 플러그인을 소개합니다. 다만 이 플러그인이 완벽하지 않으며 잘못 표시할 수 있다고도 밝힙니다. 문제가 표시되면 테마나 플러그인 개발자에게 문의하거나, WordPress.org에서 비슷한 대안을 찾으라고 권합니다.

cPanel에서 PHP 버전을 바꾸려면?

cPanel 문서는 계정의 도메인마다 PHP 버전을 정할 수 있는 MultiPHP Manager를 설명합니다. 이 도구는 Software 항목에 있습니다.

  1. cPanel에 로그인해 MultiPHP Manager를 엽니다.
  2. 바꿀 도메인 옆의 체크박스를 선택합니다.
  3. PHP Version 메뉴에서 버전을 고릅니다.
  4. Apply를 누릅니다.

cPanel 문서에 따르면 이 메뉴에는 서버에 설치되어 내 계정이 쓸 수 있는 버전만 나오고, 설치는 서버 관리자가 합니다. 그래서 같은 8.3 계열이라도 실제로 어떤 세부 버전이 적용되는지는 호스팅 업체가 무엇을 설치했는지에 달려 있습니다. 바꾼 뒤에 확인하는 단계가 중요한 이유입니다.

호스팅 업체에 따라 cPanel 대신 자체 관리 화면을 쓰고, PHP 설정 메뉴의 이름도 다릅니다. 이용 중인 업체의 도움말을 확인하세요. 워드프레스의 "Update PHP" 페이지는 여러 호스팅 업체의 안내 링크를 모아 두었고, 내 업체가 목록에 없다면 이메일로 문의하라고 권합니다.

업데이트한 뒤에는 무엇을 확인하나요?

먼저 버전을 확인하고, 그다음 사이트를 확인합니다.

  1. 워드프레스에서 도구 > 사이트 건강으로 가서 정보 탭을 누르고 서버를 펼칩니다.
  2. PHP 버전으로 내려가 PHP 버전 확인 방법의 표에 있는 같은 계열 수정 버전 이상인지 확인합니다.
  3. 사이트의 주요 페이지를 열어 보고, 관리자 화면에 로그인과 로그아웃을 해 봅니다.
  4. 도구 > 사이트 건강의 상태 탭으로 돌아가 새로 생긴 치명적인 문제가 없는지 봅니다.

문제가 생기면 워드프레스의 "Update PHP" 페이지는 PHP 버전을 직접 되돌리거나 호스팅 업체나 웹 개발자에게 연락하라고 안내합니다. 백업을 복원해야 한다면, 먼저 호스팅 업체에 이전 PHP 버전으로 되돌려 달라고 한 다음 백업을 복원하라고 합니다.

호스팅 업체에 맡기는 편이 나을 때는?

다음 중 하나라도 해당하면 호스팅 업체에 요청하세요.

  1. MultiPHP Manager에서 도메인에 "Inherited"가 표시될 때. cPanel 문서상 서버 관리자만 정할 수 있는 시스템 기본값을 쓴다는 뜻입니다.
  2. 필요한 버전이 메뉴에 없을 때. cPanel 문서에 따르면 버전은 관리자가 설치해야 메뉴에 나타납니다.
  3. PHP 설정을 어디서도 찾을 수 없거나, 호스팅 업체가 대신 관리해 주는 요금제일 때.
  4. 사이트가 PHP 8.1 이하일 때. PHP 개발팀은 이 버전들이 더 이상 업데이트를 받지 않으며, 일부 업체가 수정 사항을 따로 반영해 제공한다고 말합니다. 호스팅 업체에 반영 여부를 묻거나 지원되는 버전으로 옮기세요.

KISA(한국인터넷진흥원)는 호스팅 업체가 PHP를 관리하는 경우 업체에 조치 여부를 확인하고 요청하라고 안내합니다. 또 업데이트 후 PHP를 실행하는 모든 웹 서비스를 재시작하지 않으면 이전 버전이 메모리에 남아 계속 취약하다고 설명하므로, 업체에 재시작까지 마쳤는지도 물어보세요. 바로 업데이트할 수 없다면 KISA는 임시 조치를, 그것도 어렵다면 외부 접속 차단이나 서비스 일시 중단을 검토하라고 권고합니다. PHP 권고문은 임시 조치만으로는 설치가 안전해지지 않는다고 말합니다. 일반 호스팅이라면 요청할 것은 업데이트 그 자체입니다.

자주 묻는 질문

워드프레스 관리자 화면에서 PHP를 업데이트할 수 있나요?

아니요. 워드프레스의 "Update PHP" 페이지는 업데이트가 호스팅 업체의 설정에서, 또는 호스팅 업체에 요청해서 이루어진다고 설명합니다. 관리자 화면에서는 도구 > 사이트 건강 > 정보 > 서버에서 버전을 볼 수 있고, 사이트 건강이 오래된 PHP를 보안 문제로 표시할 수 있지만, 실제 변경은 서버에서 합니다.

워드프레스에는 어떤 PHP 버전이 권장되나요?

워드프레스의 "Update PHP" 페이지는 PHP 8.3 이상을 권장합니다. KISA도 PHP 8.2의 보안 지원이 2026년 12월 31일에 끝날 예정이므로 8.3 이상으로 전환을 권장합니다.

PHP를 업데이트하면 사이트가 망가지나요?

테마나 플러그인이 새 버전에 준비되지 않았다면 그럴 수 있습니다. 그래서 워드프레스는 백업하고 모든 것을 먼저 업데이트하라고 하며, PHP Compatibility Checker 플러그인을 소개합니다. KISA도 패치 적용 시 호환성 문제로 서비스 장애가 생길 수 있으니 미리 테스트하라고 권고합니다. 문제가 생기면 버전을 되돌리거나 호스팅 업체에 문의하면서 해결하면 됩니다.

워드프레스만 업데이트하면 PHP2Shell이 해결되나요?

아니요. 취약점은 워드프레스가 아니라 PHP에 있습니다. 워드프레스, 테마, 플러그인 업데이트는 PHP를 바꾸기 전 준비 단계일 뿐이고, PHP 권고문은 PHP 업데이트만이 완전한 해결책이라고 말합니다.

사이트가 이미 변조되었을지도 모른다면?

KISA는 업데이트한 뒤 서버 기록을 점검하고, 업데이트 전까지 인터넷에 노출되었던 서버라면 데이터베이스 비밀번호와 관리자 계정 비밀번호 같은 인증정보를 바꾸라고 권장합니다. 개인 사이트의 첫 대응은 홈페이지가 해킹되었을 때 대처법에 정리했습니다.

출처