PHP 긴급 보안 패치(PHP2Shell) — 워드프레스 사이트, 지금 PHP 버전부터 확인하세요

2026년 10월 21일, PHP 개발팀이 로그인 없이 서버에서 코드를 실행할 수 있는 치명적 취약점 2건(CVE-2026-109618·CVE-2026-109619)을 고친 긴급 보안 업데이트를 냈습니다. 이른바 «PHP2Shell»입니다. 워드프레스처럼 PHP로 돌아가는 홈페이지라면 어떤 테마·플러그인을 쓰든 서버의 PHP부터 올려야 합니다. PHP 공식 공지는 «완전한 우회책은 없고, 업데이트만이 안전한 선택»이라고 적었습니다.

공개 직후부터 인터넷 전체를 훑는 무차별 공격이 쏟아지고 있습니다. 최근 이틀 사이 엔큐솔루션이 운영하는 서버에도 1,000건이 넘는 공격 시도가 들어왔고, 현재까지 모두 차단하고 있습니다. 이 글은 워드프레스 사이트를 운영하는 분이 지금 확인할 것과 업데이트 순서를 다룹니다. 서버 관리자용 확인·차단 명령과 실제 공격 기록은 PHP2Shell 취약점 대응 가이드에 정리했습니다. 자료 기준일은 2026년 10월 23일입니다.

30초 요약 — 고칠 곳은 워드프레스가 아니라 그 아래 PHP입니다. PHP가 8.2.35·8.3.36·8.4.27·8.5.12 이상인지 확인하세요. 8.1 이하는 더 이상 패치가 나오지 않아 상위 버전으로 옮겨야 하고, 그러려면 오래된 워드프레스·플러그인·테마부터 올려야 합니다. PHP 8.2도 2026년 12월 31일이면 보안 지원이 끝납니다.

PHP2Shell은 무엇인가 — 로그인 없이 서버에서 코드 실행

두 취약점은 모두 CVSS v4.0 기준 9.2점(10점 만점)입니다. 인증되지 않은 외부 요청 하나로 공격자가 원하는 코드를 서버에서 실행할 수 있습니다. PHP 팀은 mod_php 환경의 위험이 가장 크고, 애플리케이션 코드가 실행되기도 전에 공격이 일어나는 실증 사례가 있다고 밝혔습니다. 워드프레스 보안 플러그인이 이번 취약점을 막을 수 없는 이유입니다. PHP 공식 공지

영향 범위도 넓습니다. KrebsOnSecurity는 PHP 5.4 이후 버전을 쓰는 웹서버 전체가 영향을 받는다고 보도했습니다. 취약점을 찾은 Wiz는 지난 10년 동안 나온 모든 PHP 버전이 둘 중 적어도 하나에 해당한다고 설명했습니다. Censys는 인터넷에 노출된 PHP 호스트를 약 258만 대, 웹 자산을 5,490만 개로 집계했습니다. KrebsOnSecurity 보도

패치보다 공격이 먼저 시작됐다

공격이 실제로 몇 곳에서 성공했는지는 아직 공식 집계가 없습니다. 다만 Wiz는 공격자들이 이 취약점으로 웹셸(서버를 원격 조종하는 뒷문 파일)을 심을 것으로 예상했고, PHP가 워낙 깊이 박혀 있어 업데이트가 더딜 것이라고 경고했습니다. 한국경제 KISA 권고 보도

예전에도 그랬다 — 2024년 PHP 취약점은 이틀 만에 랜섬웨어로

2024년 6월에도 PHP 취약점(CVE-2024-4577)이 공개됐습니다. PHP 팀이 수정판을 낸 지 이틀 만인 6월 8일, 랜섬웨어 조직 TellYouThePass가 공개된 공격 코드로 서버에 웹셸을 심고 랜섬웨어를 실행하려는 공격을 시작했습니다(Imperva 관측). 당시에는 Windows의 PHP-CGI 환경으로 대상이 좁았는데도 그 속도였습니다. Help Net Security 2024년 6월 보도

보안 패치가 나오면 공격자는 패치를 거꾸로 분석해 공격 코드를 만들고, 업데이트하지 않은 서버를 인터넷 전체에서 자동으로 찾아다닙니다. 공격 도구는 회사 이름이 아니라 버전 번호를 찾습니다. 작은 회사라서, 방문자가 적은 사이트라서 표적에서 빠지지 않습니다. 엔큐솔루션 서버에 이틀 동안 1,000건 넘게 들어온 시도도 특정 회사를 노린 공격이 아니라 이런 무차별 자동 공격입니다.

우리 사이트, 지금 무엇을 확인해야 하나

1. PHP 버전 확인: 호스팅 관리 화면에서 보거나, 워드프레스 관리자 «도구 → 사이트 건강 → 정보 → 서버»에서 확인합니다.
2. 패치 버전과 대조: 아래 표의 버전보다 낮으면 바로 업데이트합니다.
3. 호스팅 업체 공지 확인: 일부 리눅스 배포판은 화면에 보이는 버전 번호를 바꾸지 않고 수정만 덧붙이기도 합니다. 버전만 보고 판단하지 말고 업체에 패치 적용 여부를 물어보세요.
4. 서버를 직접 운영한다면: 업데이트 뒤 PHP-FPM이나 Apache를 재시작해야 적용됩니다. 바로 올릴 수 없다면 WordPress.org와 영국 국가사이버보안센터(NCSC)는 사이트를 잠시 내리는 것까지 권고했습니다.
5. 이미 노출됐을 가능성 점검: 업데이트 전까지 낯선 PHP 파일, 처음 보는 관리자 계정, 바뀐 파일이 없는지 확인하고 관리자 비밀번호를 바꿉니다.

왜 «워드프레스 버전업»이 같이 따라오나

워드프레스만 최신으로 올려서는 이번 취약점이 막히지 않습니다. WordPress.org도 이번 건으로 워드프레스 업데이트는 필요하지 않다고 밝혔습니다. 문제는 PHP를 올리려는 순간 오래된 워드프레스가 발목을 잡는다는 점입니다. 몇 년째 손대지 않은 사이트는 PHP 7.x나 8.1에 묶여 있는 경우가 많고, 오래된 코어·플러그인·테마는 새 PHP에서 화면이 깨지거나 기능이 멈출 수 있습니다. Codeable 워드프레스 대응 안내

안전한 순서는 이렇습니다.

1. 파일과 데이터베이스를 백업합니다.
2. 워드프레스 코어·플러그인·테마를 최신 버전으로 올립니다. 업데이트가 끊긴 플러그인은 교체 대상입니다.
3. 테스트용 사이트에서 새 PHP(8.3 이상, 가능하면 8.4)로 화면과 문의·결제 같은 기능을 확인합니다.
4. 운영 서버의 PHP를 바꾸고 재시작한 뒤 같은 항목을 다시 확인합니다.

PHP 8.2는 2026년 12월 31일로 보안 지원이 끝납니다

이번에 8.2.35로 올렸더라도 끝이 아닙니다. PHP 공식 지원 일정에 따르면 PHP 8.2는 2026년 12월 31일 이후 보안 패치를 받지 못합니다. 두 달 뒤 같은 일이 생기면 8.2 사이트는 고칠 방법이 없습니다. 어차피 옮겨야 한다면 이번에 8.4로 가는 편이 낫습니다. 8.4는 2028년 말까지 보안 지원을 받습니다. PHP 지원 버전 일정

오래된 워드프레스 사이트를 손볼지, 이참에 관리가 쉬운 구조로 다시 만들지 고민이라면 현재 사이트 주소와 쓰는 기능을 정리해 프로젝트 문의로 보내 주세요. 엔큐솔루션은 사이트를 만들 때 권한·입력 검증·의존성 업데이트 같은 보안 점검을 함께 합니다. 홈페이지·웹서비스 개발에서 진행 방식을 볼 수 있습니다.

자주 묻는 질문

워드프레스를 최신 버전으로 올리면 PHP2Shell이 해결되나요?

아닙니다. 취약점은 워드프레스 아래의 PHP 엔진에 있습니다. 서버의 PHP를 패치 버전으로 올려야 합니다. 다만 오래된 워드프레스는 새 PHP와 맞지 않을 수 있어 워드프레스 업데이트가 함께 필요한 경우가 많습니다.

보안 플러그인이나 방화벽이 있으면 괜찮나요?

PHP 팀은 완전한 우회책이 없다고 밝혔습니다. 공격이 워드프레스 코드가 실행되기 전에 일어날 수 있어 플러그인으로는 막기 어렵습니다. Cloudflare 같은 웹 방화벽 규칙은 업데이트할 시간을 벌어 줄 뿐입니다.

호스팅을 쓰고 있는데 제가 할 일이 있나요?

호스팅 업체가 PHP를 패치했는지 공지를 확인하거나 직접 물어보세요. 업체에 따라 이미 적용한 곳도 있고 아직 적용 중인 곳도 있습니다. 관리 화면에서 PHP 버전을 고를 수 있다면 8.1 이하는 쓰지 않는 것이 좋습니다.

PHP 8.1 이하를 쓰고 있으면 어떻게 하나요?

PHP 8.1 이하는 공식 보안 지원이 끝나 이번 패치가 나오지 않습니다. KISA도 상위 버전으로 교체하라고 권고했습니다. 백업 → 워드프레스·플러그인·테마 업데이트 → 테스트 → PHP 전환 순서로 옮기세요.

우리 사이트는 작고 방문자도 적은데 공격 대상이 되나요?

됩니다. 공격 도구는 회사 규모가 아니라 취약한 버전을 자동으로 찾습니다. 2024년 PHP 취약점은 공개 이틀 만에 랜섬웨어 공격에 쓰였고, 엔큐솔루션 서버에도 최근 이틀 동안 1,000건이 넘는 무차별 공격 시도가 들어왔습니다.

출처

• PHP 공식 보안 공지(2026년 10월 20~21일)와 PHP 지원 버전 일정: 취약점·패치 버전·지원 종료일.
• KrebsOnSecurity, 2026년 10월 21일: 영향 범위, Cloudflare 탐지, Censys 집계, Wiz 경고.
• 한국경제, 2026년 10월 22일: KISA 권고, 해외 정부기관 대응.
• Codeable: WordPress.org 입장, PHP 8.1 이하, 호스팅별 대응.
• Help Net Security, 2024년 6월 13일: CVE-2024-4577과 TellYouThePass 랜섬웨어.
• 엔큐솔루션 서버 공격 시도 건수: 엔큐솔루션 운영 기록(2026년 10월 23일 기준).