PHP 긴급 보안 업데이트, 우리 홈페이지는 안전할까요?

지난 10월 21일 PHP 개발팀이 긴급 보안 업데이트를 내놓았습니다. PHP는 국내 쇼핑몰과 회사 홈페이지 상당수가 쓰는 서버 프로그래밍 언어입니다. 이번에 고친 취약점 두 건(CVE-2026-109618, CVE-2026-109619)은 로그인하지 않은 외부인이 서버에서 명령을 실행할 수 있게 할 수 있다고 PHP 측이 밝혔습니다. 홈페이지 프로그램이 아니라 PHP 자체의 문제라서, 사이트를 잘 만들었더라도 서버의 PHP가 옛 버전이면 위험이 남습니다.

무슨 일이 있었나요

PHP 공식 사이트는 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전에서 두 취약점이 수정됐다고 안내합니다. 두 건 모두 심각도 점수(CVSS 4.0)가 9.2로 매겨졌습니다. PHP-FPM, 아파치의 mod_php, php-cgi, LiteSpeed 등 웹 요청을 처리하는 방식이면 대체로 해당합니다. 같은 버전 계열 안에서 위 번호보다 낮으면 수정이 안 된 버전입니다.

보안업체 watchTowr는 실제 공격을 관찰했다고 밝혔고, 공개된 시험용 공격 코드도 여럿 나와 있다고 합니다. PHP는 안내문에서 완전한 우회책은 없고 업데이트만이 안전한 선택이라고 했습니다. 설정 몇 개를 바꾸는 것으로 끝낼 일이 아니라는 뜻입니다.

우리 사이트에는 어떤 영향이 있나요

누가 서버를 관리하는지에 따라 달라집니다.

• 공유 호스팅을 쓰는 경우: PHP는 호스팅 업체가 올립니다. 업체가 언제 어떤 버전으로 올렸는지 공지나 문의로 확인해야 합니다.
• VPS나 임대 서버를 직접 쓰는 경우: 서버 관리자(내부 담당자나 외주 업체)가 올려야 합니다. 맡은 사람이 없으면 아무도 올리지 않은 상태일 수 있습니다.
• PHP 8.1 이하를 쓰는 경우: 여러 보안업체가 이 버전들에는 공식 수정 버전이 나오지 않았다고 정리합니다. 서버 업체가 따로 수정본을 제공하는지 확인하고, 없으면 지원되는 버전으로 옮기는 계획을 세워야 합니다.

한 가지 더 알아 둘 점이 있습니다. 리눅스 배포판 중에는 버전 번호는 그대로 두고 수정 내용만 반영하는 경우가 있습니다. 보안업체 Patchstack은 RHEL의 8.2·8.3 패키지 변경 기록에 취약점 번호 없이 '리베이스'라고만 적혀 있다고 지적했습니다. 그래서 번호만 보고 안전 여부를 단정하지 말고 서버 업체에 확인해야 합니다.

오늘 확인할 것

1. 서버의 PHP 버전을 확인합니다. 호스팅 관리 화면이나 개발·서버 담당자에게 물으면 됩니다.
2. 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상인지, 또는 업체가 같은 수정을 반영한 패키지를 제공했는지 확인합니다.
3. 아니라면 업데이트 일정을 서면이나 메신저로 받아 둡니다. 구두 답변만 믿지 않는 편이 좋습니다.
4. 업데이트 전 홈페이지 파일과 데이터베이스 백업이 있는지 확인합니다.
5. 업데이트 후 로그인, 장바구니, 결제, 게시판 글쓰기, 관리자 화면을 직접 눌러 봅니다.
6. 최근 몇 주 사이 모르는 파일이 생겼는지, 관리자 계정이 늘었는지, 서버가 갑자기 느려졌는지 살핍니다. 이상하면 서버 업체에 로그 확인을 요청합니다.

PHP 8.2 종료와 8.6 출시도 가까워집니다

이번 일과 별개로 일정이 두 가지 있습니다. PHP 8.2는 2026년 12월 31일에 보안 지원이 끝납니다. 그날 사이트가 멈추지는 않지만, 이후 발견되는 취약점은 8.2에 수정이 제공되지 않습니다. 8.3은 2027년 12월 31일까지 지원됩니다.

또 PHP 8.6이 11월 19일 출시될 예정입니다. 다만 새 버전이 나오자마자 운영 서버에 올릴 필요는 없습니다. 쇼핑몰 솔루션이나 플러그인, 직접 만든 기능이 새 버전에서 동작하는지 먼저 확인해야 합니다. 급한 것은 지금 쓰는 계열의 수정 버전으로 올리는 일이고, 8.2 이하는 시험 서버에서 호환을 확인한 뒤 8.4나 8.5로 옮기는 계획을 연말 전에 세우는 것이 좋습니다. 사용 중인 쇼핑몰 솔루션이 어느 PHP 버전을 지원하는지는 개발사 안내에서 확인해야 합니다.

담당이 분명하지 않다면

호스팅 업체는 서버를, 제작 업체는 사이트 프로그램을 맡는다고 생각하다가 아무도 PHP를 확인하지 않는 일이 흔합니다. 계약서나 유지관리 범위에 서버 업데이트가 들어 있는지 먼저 확인하십시오. 없다면 누가 맡을지 정해야 합니다.

PHP 버전 확인과 업그레이드 호환성 점검, 업데이트 후 동작 확인이 필요하시면 디자인픽스에 문의해 주십시오.