PHP란 무엇일까? 코딩을 몰라도 PHP 취약점이 중요한 이유
PHP는 웹사이트를 만드는 데 쓰는 프로그래밍 언어입니다. PHP 매뉴얼은 PHP를 널리 쓰이는 오픈소스 범용 스크립트 언어로, 특히 웹 개발에 알맞다고 설명합니다. PHP는 웹페이지를 보내 주는 컴퓨터, 즉 서버에서 실행되며, 여러분이 페이지를 보는 휴대전화나 노트북에서 실행되지 않습니다. 이 글은 2026년 10월 23일 기준 정보입니다.
간단한 답변
PHP는 많은 웹사이트가 쓰는 오픈소스 언어입니다. PHP 코드는 웹사이트의 서버에서 실행되어 페이지를 만들고, 완성된 결과만 브라우저로 보냅니다. 그래서 PHP의 취약점은 웹사이트를 운영하는 사람의 문제이고, 해결책도 내 기기가 아니라 서버의 업데이트입니다.
PHP는 어디에 쓰이나요?
주로 내용이 바뀌는 웹페이지를 만드는 데 쓰입니다. 일반 웹페이지는 고정된 파일입니다. PHP 페이지는 요청을 받는 순간 페이지를 만들어 내는 작은 프로그램이라서, 장바구니나 내 계정, 최신 게시글처럼 그때그때 다른 내용을 보여 줄 수 있습니다.
PHP 매뉴얼은 PHP가 주로 서버 측 스크립트에 초점을 맞춘 언어라고 하며, 그 예로 폼 데이터 수집, 요청에 맞춘 페이지 내용 생성, 쿠키 주고받기를 듭니다. php.net 첫 화면은 더 넓게, PHP가 개인 블로그부터 세계에서 가장 인기 있는 웹사이트까지 움직인다고 소개합니다.
이름을 보지 못한 채 PHP를 쓰고 있을 수도 있습니다. 워드프레스는 PHP가 워드프레스를 만드는 프로그래밍 언어 중 하나라고 설명합니다. PHP 매뉴얼은 PHP를 명령줄 도구로도 실행할 수 있어서, 예약 작업 스크립트나 간단한 텍스트 처리에도 쓸 수 있다고 덧붙입니다.
'서버 측'이란 사이트와 방문자에게 무슨 뜻인가요?
작업이 여러분에게 닿기 전에 웹사이트의 컴퓨터에서 끝난다는 뜻입니다. PHP 매뉴얼은 브라우저에서 실행되는 자바스크립트와 달리, PHP는 코드가 서버에서 실행되어 HTML을 만들고 그 HTML이 클라이언트로 전송된다고 설명합니다. 여기서 클라이언트는 여러분의 브라우저입니다.
그래서 PHP로 만든 사이트의 페이지를 열면, 서버가 PHP를 실행해 평범한 웹페이지를 만들고 그 페이지를 보내 줍니다. 매뉴얼에 따르면 클라이언트는 스크립트를 실행한 결과를 받을 뿐 그 밑에 있는 코드가 무엇인지는 알 수 없습니다. 또 서버를 설정하기에 따라 사용자가 PHP가 쓰이는지조차 알 방법이 없게 만들 수 있다고 합니다.
방문자 입장에서는 두 가지로 정리됩니다. PHP로 만든 사이트를 쓰려고 PHP를 설치할 필요가 없고, 어떤 사이트가 PHP를 쓰는지 대개 알 수 없습니다.
PHP의 취약점 하나가 왜 그렇게 많은 사이트에 영향을 주나요?
PHP를 쓰는 사이트는 모두 같은 핵심 소프트웨어를 실행하므로, 그 핵심에 있는 약점은 각 사이트가 업데이트할 때까지 모두에게 똑같이 남아 있습니다. PHP 개발팀은 2026년 10월 21일 심각한 취약점 두 가지, CVE-2026-109618과 CVE-2026-109619를 발표하며 위험한 대상을 웹 요청을 처리하는 모든 PHP 설치라고 밝혔습니다. 한국인터넷진흥원(KISA)도 10월 22일 보안공지에서 PHP를 사용하는 기업에 즉시 조치하라고 권고했습니다.
이 글에서 참고한 공식 자료 가운데 PHP를 쓰는 웹사이트의 수나 비율을 밝힌 곳은 없어서, 여기서도 숫자는 적지 않습니다. 공식 자료가 말하는 것은 PHP가 널리 쓰이고 눈에 잘 띄지 않을 때가 많다는 점입니다. 미국 사이버보안·인프라보안국(CISA)은 PHP가 다른 소프트웨어의 구성 요소로 들어가 있는 경우가 많아 얼마나 퍼져 있는지 바로 드러나지 않을 수 있다고 설명합니다. KISA도 PHP가 내장된 장비와 솔루션을 따로 확인하라고 권고합니다. 워드프레스의 PHP 업데이트 안내는 PHP가 아주 인기 있기 때문에 해커의 표적이 된다고 적고 있습니다.
취약점의 내용과 심각도, 어떤 버전에서 고쳐졌는지는 PHP2Shell 해설에 정리했습니다.
왜 내 기기에서는 사이트의 PHP가 실행되지 않나요?
PHP는 웹사이트가 있는 곳에서 실행되기 때문입니다. 브라우저가 서버에 페이지를 요청하면 서버가 PHP를 실행하고, 여러분에게 돌아오는 것은 HTML로 된 완성된 페이지입니다. 10월 21일 PHP 권고문이 위험한 곳으로 꼽은 것도 PHP-FPM, Apache의 mod_php, LiteSpeed처럼 모두 웹서버에서 돌아가는 구성입니다.
오래되었거나 패치되지 않은 PHP를 쓰는 사이트에 접속한다고 해서 그 PHP가 휴대전화나 노트북으로 옮겨 오지는 않습니다. 방문자에게 생길 수 있는 위험은 다른 종류입니다. 공격자가 사이트를 장악하면 사이트가 보여 주는 내용을 바꿀 수 있습니다. 어떤 모습인지, 무엇을 조심하면 되는지는 해킹된 사이트에 접속만 해도 감염될까에서 다룹니다.
예외는 웹사이트를 만들거나 테스트하려고 내 컴퓨터에 PHP를 직접 설치한 경우입니다. 그때는 다른 소프트웨어처럼 업데이트해야 할 사본이 내 컴퓨터에 있는 것입니다.
PHP 취약점을 쉽게 설명하면?
취약점은 누군가가 소프트웨어에 하지 말아야 할 일을 시키는 데 쓸 수 있는 약점입니다. PHP 개발팀은 2026년 10월의 취약점들이 인증 없이 원격으로 코드를 실행하게 할 수 있다고 설명합니다. KISA는 이를 로그인 없이 외부에서 서버에 원하는 명령을 실행할 수 있는 치명적 보안 취약점이라고 표현했습니다.
PHP 개발팀의 답은 업데이트입니다. 릴리스 공지에는 "There are no complete mitigations, updating is the only safe choice."라고 적혀 있습니다. 완전한 완화책은 없고 업데이트만이 안전한 선택이라는 뜻입니다. 웹사이트를 관리한다면 먼저 사이트가 어떤 버전을 쓰는지 확인하세요. PHP 버전 확인 방법에 보는 곳과 수정 버전 목록을 정리했습니다.
자주 묻는 질문
PHP는 바이러스이거나 내 컴퓨터의 프로그램인가요?
아닙니다. PHP는 프로그래밍 언어이자 그 언어를 실행하는 소프트웨어이며, 악성코드가 아닙니다. 웹사이트를 호스팅하는 서버에서 실행됩니다. 내 컴퓨터에 PHP가 있는지 궁금하다면 내 컴퓨터에 PHP가 설치되어 있을까에서 명령어 하나로 확인하는 방법을 보세요.
PHP는 무엇의 약자인가요?
PHP 매뉴얼에 따르면 PHP는 "PHP: Hypertext Preprocessor"의 재귀 약어입니다. 재귀 약어란 풀어 쓴 말의 첫 단어가 다시 그 이름인 약어를 말합니다. '전처리기(preprocessor)'라는 말은 페이지가 브라우저로 가기 전에 그 페이지를 처리한다는 PHP의 역할을 나타냅니다.
내 웹사이트가 쓰는 PHP 버전은 누가 정하나요?
대개 호스팅 업체입니다. 워드프레스의 PHP 업데이트 안내는 사이트에서 쓸 수 있는 PHP 버전을 호스팅 업체가 정한다고 하며, 많은 업체가 직접 바꿀 수 있게 해 준다고 설명합니다. 보는 곳은 PHP 버전 확인 방법에 있습니다.
어떤 웹사이트가 PHP를 쓰는지 알 수 있나요?
대부분은 알 수 없습니다. PHP 매뉴얼은 서버를 설정하기에 따라 사용자가 PHP가 쓰이는지 알 방법이 없게 할 수 있다고 말합니다. 직접 운영하는 사이트라면 호스팅 관리 화면이나 호스팅 업체가 버전을 알려 줍니다.
PHP는 써도 안전한가요?
사이트가 어떤 버전을 쓰는지에 달려 있습니다. 지원 중인 버전은 보안 수정을 받고, 지원이 끝난 버전은 받지 못합니다. PHP의 지원 방식은 PHP는 안전할까에서 설명합니다.