위험도
9.2
CVSS v4.0 · 치명적
CVE-2026-109618, CVE-2026-109619 두 건. 웹셸 설치, 고객정보 유출, 홈페이지 변조로 이어질 수 있습니다(KISA).
PHP2Shell,
무엇이 문제인가요?
2026년 10월 21일, PHP 엔진 자체에서 로그인 없이 서버 명령을 실행할 수 있는 취약점 2건이 공개됐습니다.
워드프레스, 그누보드, 자체 개발 사이트처럼 PHP로 돌아가는 홈페이지라면 PHP 버전부터 확인해야 합니다.
해결 버전
8.4.27
8.2.35 · 8.3.36 · 8.5.12 이상
사용 중인 계열의 이 버전보다 낮다면 바로 업데이트하고 PHP를 재시작해야 합니다.
PHP 8.1 이하
패치 없음
공식 업데이트 종료
정식 패치가 나오지 않습니다. 지원되는 버전으로 옮겨야 근본적으로 해결됩니다.
PHP 8.2 지원 종료
2026.12.31
KISA 권고: 8.3 이상으로
새로 옮긴다면 2028년 말까지 보안 지원을 받는 PHP 8.4를 권합니다.
2026년 10월 24일 기준 · 출처: PHP 공식 보안 공지, KISA 보호나라 대응 수칙, PHP 지원 버전표
우리 홈페이지는
몇 버전에서 돌아가나요?
PHP 버전은 화면에 보이지 않아 미루기 쉽습니다.
하지만 공식 지원이 끝난 버전은 이번 취약점은 물론 다음 취약점에도 패치가 나오지 않습니다.
이런 상황이라면 확인이 필요합니다
-
1
PHP 버전을
모른다.호스팅 관리 화면을 본 적이 없거나, 홈페이지를 만든 업체만 버전을 알고 있는 경우입니다.
-
2
PHP 8.1 이하를
쓰고 있다.PHP 8.1 이하는 공식 업데이트가 끝나 이번 취약점의 정식 패치가 나오지 않습니다.
-
3
버전을 올렸더니
화면이 멈췄다.오래된 코드는 PHP 8에서 오류로 멈추는 경우가 많아, 버전만 바꾸면 사이트가 열리지 않을 수 있습니다.
-
4
만든 업체와
연락이 안 된다.서버 접속 정보와 소스가 어디 있는지 몰라 업데이트를 시작하지 못하고 있습니다.
-
5
호스팅 업체에서
버전 전환 안내를 받았다.공지에는 상위 버전으로 옮기라고만 적혀 있어 무엇부터 해야 할지 모르겠습니다.
-
6
이미 들어왔는지
걱정된다.패치 전에 취약점 정보가 유출됐다는 공지를 보고, 서버에 흔적이 남았는지 확인하고 싶습니다.
PHP 버전 확인은 오래 걸리지 않습니다.
확인부터 하고, 다음 할 일을 정하시면 됩니다.
웹셀러 PHP 보안,
'화면은 그대로, 버전만 새로'
버전을 올리는 것보다 어려운 건, 올린 뒤에도 홈페이지가 똑같이 돌아가게 하는 일입니다.
웹셀러는 기존 화면과 기능을 그대로 두고, 새 버전에서 멈추는 코드만 찾아 고칩니다.
다른 업체가 만든 사이트도 코드와 서버 환경을 확인한 뒤 진행합니다.
확인부터, 급한 일부터
PHP 버전과 패치 적용 여부, 호스팅 업체의 조치 상태를 먼저 확인합니다. 해결 버전이면 점검과 비밀번호 교체로, 8.1 이하라면 임시 조치와 전환 계획으로 나눠 급한 일부터 처리합니다.
멈추는 코드만 고칩니다
PHP 7에서 없어진 mysql_* 함수, 빈 값 계산, 0으로 나누기, 빈 날짜 표시처럼 PHP 8에서 멈추거나 결과가 달라지는 곳만 고칩니다. 화면 디자인과 기능은 바꾸지 않습니다.
원본과 비교해 확인합니다
기존 버전과 새 버전에서 같은 화면을 띄워 결과를 비교합니다. PHP 5.5로 만든 주문 관리 시스템을 8.4로 옮긴 작업에서는 PHP 파일 579개의 문법 오류를 0건으로 맞추고 화면 209개를 원본과 비교했습니다.
한 번 옮길 때 8.4로
PHP 8.2는 2026년 12월 31일에 보안 지원이 끝나 곧 다시 옮겨야 합니다. 그래서 2028년 말까지 보안 지원을 받는 PHP 8.4로 옮기는 것을 기본으로 안내합니다.
다른 업체가 만든 사이트도
그누보드, 워드프레스, 자체 개발 사이트처럼 PHP로 만든 사이트라면 다른 업체가 만들었어도 진행할 수 있습니다. 코드와 서버 환경을 먼저 확인한 뒤 가능 여부와 범위를 안내합니다.
확인부터, 급한 일부터
PHP 버전과 패치 적용 여부, 호스팅 업체의 조치 상태를 먼저 확인합니다. 해결 버전이면 점검과 비밀번호 교체로, 8.1 이하라면 임시 조치와 전환 계획으로 나눠 급한 일부터 처리합니다.
멈추는 코드만 고칩니다
PHP 7에서 없어진 mysql_* 함수, 빈 값 계산, 0으로 나누기, 빈 날짜 표시처럼 PHP 8에서 멈추거나 결과가 달라지는 곳만 고칩니다. 화면 디자인과 기능은 바꾸지 않습니다.
원본과 비교해 확인합니다
기존 버전과 새 버전에서 같은 화면을 띄워 결과를 비교합니다. PHP 5.5로 만든 주문 관리 시스템을 8.4로 옮긴 작업에서는 PHP 파일 579개의 문법 오류를 0건으로 맞추고 화면 209개를 원본과 비교했습니다.
한 번 옮길 때 8.4로
PHP 8.2는 2026년 12월 31일에 보안 지원이 끝나 곧 다시 옮겨야 합니다. 그래서 2028년 말까지 보안 지원을 받는 PHP 8.4로 옮기는 것을 기본으로 안내합니다.
다른 업체가 만든 사이트도
그누보드, 워드프레스, 자체 개발 사이트처럼 PHP로 만든 사이트라면 다른 업체가 만들었어도 진행할 수 있습니다. 코드와 서버 환경을 먼저 확인한 뒤 가능 여부와 범위를 안내합니다.
PHP 보안 서비스,
구체적으로 무엇을 해주나요?
버전·패치 확인
-
사용 중인 PHP 버전 확인
-
해결 버전 적용 여부 확인
-
호스팅 업체 조치 상태 확인
-
리눅스 패키지의 CVE 반영 이력 확인
-
외주·테스트·관리자 서버까지 목록 정리
임시 조치 (단독 서버)
-
session.upload_progress 끄기
-
memory_limit·post_max_size 관리자 설정
-
앞단 요청 크기 제한
-
업로드 없는 서비스의 multipart 차단
-
PHP 재시작 후 동작 확인
침해 흔적 점검
-
10월 20일 이후 서버 기록
-
반복된 500 오류·비정상 종료
-
새로 생긴 PHP 파일(웹셸)
-
결제 페이지 외부 스크립트
-
알 수 없는 외부 연결
PHP 8.4 전환
-
소스 진단(파일·DB 함수 분석)
-
PHP 8에서 멈추는 코드 수정
-
mysql_* 함수를 mysqli로 연결
-
원본과 화면 비교 검증
-
지원 버전 서버로 반영
마무리 및 관리
-
관리자·DB 비밀번호, API 키 교체
-
확인·변경 내역 문서 전달
-
반영 후 동작 확인
-
유지보수로 다음 패치까지 관리
PHP 보안 작업,
이렇게 진행됩니다
-
현황 확인
PHP 버전, 호스팅 종류, 서버·소스 접속 정보를 확인합니다. 외주로 만든 사이트나 테스트·관리자 서버가 따로 있는지도 함께 봅니다.
-
긴급 조치
해결 버전이 아니면 업데이트하거나(단독 서버) 호스팅 업체에 조치를 확인·요청합니다. 10월 20일 이후 서버 기록과 새로 생긴 PHP 파일을 점검하고 비밀번호를 바꿉니다.
-
전환 진단 (8.1 이하)
소스를 분석해 PHP 8에서 멈출 곳과 고칠 범위를 찾고, 일정과 견적을 안내합니다.
-
전환 및 검증 (8.1 이하)
시험 환경에서 코드를 고치고, 기존 버전과 새 버전의 화면을 비교해 결과가 같은지 확인합니다.
-
반영 및 마무리
지원 버전 서버에 반영하고 동작을 확인합니다. 확인·변경 내역을 문서로 전달하고, 원하시면 유지보수로 다음 패치까지 이어서 관리합니다.
※ 3~4단계는 PHP 8.1 이하를 쓰는 사이트에만 해당합니다. 해결 버전을 쓰고 있다면 1·2·5단계로 끝납니다.
왜 웹셀러에
PHP 보안을 맡겨야 하나요?
PHP 보안
서비스 안내
Check
긴급 점검 · 웹호스팅
협의 후 제공
카페24·가비아 같은 웹호스팅을 쓰는 사이트
- PHP 버전·패치 확인
- 호스팅 업체 조치 확인·요청
- 10월 20일 이후 기록·새 PHP 파일 점검
- 관리자·DB 비밀번호 교체
- 확인·변경 내역 정리
- PHP 설정 변경 (호스팅 업체 관리)
- 코드 수정
Server
긴급 점검·조치 · 단독 서버
협의 후 제공
VPS·클라우드·단독 서버를 직접 운영하는 사이트
- 웹호스팅 점검 항목 전체
- PHP 해결 버전 업데이트
- 임시 조치 설정 (php.ini·FPM)
- 앞단 요청 크기 제한
- PHP 재시작·동작 확인
- 코드 수정
Migration
PHP 8.4 전환
협의 후 제공
PHP 8.1 이하를 쓰는 사이트 — 소스 진단 후 범위를 정합니다
- 소스 진단 (파일·DB 함수 분석)
- PHP 8에서 멈추는 코드 수정
- mysql_* 함수 mysqli 연결
- 원본과 화면 비교 검증
- 지원 버전 서버 반영
- 확인·변경 내역 정리
※ 비용은 사이트 규모와 서버 환경을 확인한 뒤 협의해 안내합니다.
※ 유지보수 베이직 케어 이상 고객은 계약 범위 안에서 긴급 보안 패치를 진행합니다. 자세한 범위는 유지보수에서 보실 수 있습니다.
※ 웹호스팅은 PHP 설정을 호스팅 업체가 관리하므로, 임시 조치는 호스팅 업체에 확인·요청하는 방식으로 진행합니다.
※ 다른 업체가 만든 사이트는 코드와 서버 환경을 확인한 뒤 진행 여부와 범위를 안내합니다.
PHP 보안, 자주 묻는 질문
Q.PHP2Shell이 무엇인가요?
2026년 10월 21일 공개된 PHP 엔진 자체의 취약점 2건(CVE-2026-109618, CVE-2026-109619)입니다. 위험도는 CVSS v4.0 9.2로, 로그인 없이 바깥에서 서버 명령을 실행할 수 있어 웹셸 설치나 고객정보 유출로 이어질 수 있습니다. PHP를 8.2.35·8.3.36·8.4.27·8.5.12 이상으로 올리면 해결됩니다.
Q.우리 홈페이지가 해당되는지 어떻게 알 수 있나요?
호스팅 관리 화면이나 홈페이지를 만든 업체를 통해 PHP 버전을 확인하시면 됩니다. 8.2~8.5 계열에서 해결 버전 이상이면 패치된 상태이고, 그보다 낮거나 8.1 이하라면 조치가 필요합니다.
Q.카페24·가비아 같은 웹호스팅을 쓰면 따로 할 일이 없나요?
호스팅 업체가 PHP 패치를 마쳤어도 내 홈페이지가 공식 지원이 끝난 8.1 이하로 설정돼 있다면 해결된 것이 아닙니다. KISA는 업데이트 뒤 서버 기록 점검과 관리자·DB 비밀번호 교체도 권했는데, 이는 홈페이지 운영자가 챙겨야 하는 일입니다.
Q.PHP 8.1 이하는 패치가 없나요?
PHP 프로젝트의 공식 업데이트는 나오지 않습니다. PHP 보안팀이 7.4·8.0·8.1용 소스 패치를 따로 공개했지만 임시 방편이고, PHP 5.x와 7.0~7.3은 공식 공지에 영향 여부도 적혀 있지 않아 지원 버전으로 옮기는 것이 근본 해결입니다.
Q.PHP 버전을 올리면 홈페이지가 깨지나요?
오래된 코드일수록 깨질 수 있습니다. PHP 8은 예전에 경고로 넘어가던 코드를 오류로 멈추는 경우가 많아, 웹셀러는 시험 환경에서 코드를 고치고 원본과 화면을 비교한 뒤 운영 서버에 반영합니다.
Q.어느 버전으로 옮겨야 하나요?
PHP 8.2는 2026년 12월 31일에 보안 지원이 끝나 KISA는 8.3 이상을 권했습니다. 새로 옮긴다면 2028년 말까지 보안 지원을 받는 PHP 8.4를 권합니다.
Q.다른 업체가 만든 홈페이지도 맡길 수 있나요?
PHP로 만든 사이트라면 대부분 가능합니다. 그누보드, 워드프레스, 자체 개발 사이트 등은 코드와 서버 환경을 먼저 확인한 뒤 진행 여부와 범위를 안내하며, 작업에는 서버 또는 호스팅 접속 정보가 필요합니다.
Q.비용은 얼마인가요?
사이트 규모와 서버 환경에 따라 작업 범위가 크게 달라서 확인한 뒤 협의해 안내합니다. 유지보수 베이직 케어 이상 고객은 계약 범위 안에서 긴급 보안 패치를 진행하고, PHP 8.4 전환처럼 코드를 고치는 작업은 소스 진단 후 범위를 정합니다.
PHP 버전,
확인부터 시작하세요.
어디서부터 봐야 할지 모르겠다면 사이트 주소와 사용 중인 호스팅만 남겨 주세요.
확인할 범위와 일정을 안내해 드립니다.
월별 수주 가능
프로젝트, 단 5개
당신의 성공에만 집중하기 위해, 매월 단 5개의 프로젝트만 수주합니다.
홈페이지를 '비용'이 아닌, 가장 안정적인 '투자 자산'으로 바꾸세요.
카카오 1:1 문의