요약. 2026년 10월 21일 PHP 개발팀이 인증 없이 원격 코드 실행이 가능할 수 있는 취약점 두 건(CVE-2026-109618, CVE-2026-109619, 별칭 ‘PHP2Shell’)의 수정 버전 8.5.12·8.4.27·8.3.36·8.2.35를 공개했습니다. 영국 NCSC와 미국 CISA도 같은 날 경보를 냈습니다. 워드프레스는 PHP 위에서 돌아가므로, 직접 서버를 관리하든 호스팅을 쓰든 내 사이트의 PHP 버전을 확인하고 호스팅사 공지를 챙겨 보는 것이 첫걸음입니다. 이 글은 확인 방법과 업데이트 순서를 일반 절차로 정리했습니다. 확인일은 2026년 10월 22일입니다.
※ 이 글은 일반 정보입니다. 호스팅사마다 화면과 메뉴가 다르고, 업데이트 전에는 백업이 필요합니다. 보안 전문가의 진단을 대신하지 않습니다.
PHP2Shell이 뭔가: 확인된 사실만
PHP 보안 권고(GitHub 보안 권고 GHSA-w8hw-w9fx-j79w)에 따르면 CVE-2026-109618은 메모리 부족 상황을 처리하는 과정에서 요청 메모리가 잘못된 상태로 남아, 인증 없는 원격 코드 실행으로 이어질 수 있는 문제입니다. 심각도는 ‘치명적(Critical)’, CVSS v4 기본 점수 9.2입니다. 이 권고는 수정 버전을 쓰는 것이 유일한 완전한 대응이라고 설명합니다. CVE-2026-109619는 이전 요청의 상태가 남아 이후 요청에 영향을 주는 문제로 NCSC가 설명했습니다. php.net은 10월 21일 PHP 8.5.12와 8.4.27 보안 릴리스를 공지했습니다.
NCSC는 어떤 PHP 버전이든 영향을 받을 수 있다고 안내했고, CISA는 웹 요청을 처리하는 모든 PHP 설치가 대상이라고 밝혔습니다. 한편 CISA는 경보 시점에 악용 사례를 확인하지 못했다고 적었습니다. 이 글에서는 확인되지 않은 피해 사례는 다루지 않습니다.
| 쓰는 PHP 계열 | 수정 버전(이상) | 메모 |
|---|---|---|
| 8.5 | 8.5.12 | 그보다 낮으면 수정 전 |
| 8.4 | 8.4.27 | 그보다 낮으면 수정 전 |
| 8.3 | 8.3.36 | 그보다 낮으면 수정 전 |
| 8.2 | 8.2.35 | 그보다 낮으면 수정 전 |
| 8.1 이하 | 공식 수정 버전 없음(지원 종료) | Help Net Security는 PHP팀이 7.4·8.0·8.1용 소스 백포트를 따로 냈다고 전함. 호스팅사 안내 확인, 지원되는 버전으로 이동 권장 |
호스팅사가 배포판 패키지로 패치만 적용하고 버전 번호는 그대로 두는 경우도 있어, 번호만으로 안전 여부를 단정하지 말고 호스팅사 공지를 함께 확인하세요.
워드프레스 사이트는 왜 해당될 수 있나
워드프레스는 PHP로 만들어진 프로그램이라, 사이트가 열릴 때마다 서버의 PHP가 요청을 처리합니다. 이번 문제는 워드프레스나 플러그인의 결함이 아니라 PHP 자체의 결함으로 공지되었습니다. 따라서 워드프레스를 최신으로 올려도 서버의 PHP가 수정 전이면 해당될 수 있습니다. 공유 호스팅이라면 PHP 업데이트는 호스팅사가 처리하는 영역일 수 있어서, 호스팅사 공지 확인이 먼저입니다.
다만 ‘내 사이트가 실제로 뚫릴 가능성이 얼마나 되는가’는 이 글에서 단정할 수 없습니다. 확인된 것은 취약점의 존재와 수정 버전, 그리고 기관들이 신속한 업데이트를 권고했다는 점입니다.
내 사이트 PHP 버전 확인하는 방법
아래는 일반적인 절차입니다. 호스팅사마다 메뉴 이름과 위치가 다르므로, 막히면 호스팅사 고객센터에 “내 계정의 PHP 버전과 이번 PHP 보안 패치 적용 여부”를 문의하는 것이 가장 정확합니다.
- 호스팅 관리화면: 로그인 후 ‘PHP 설정’, ‘PHP 버전 선택’, ‘웹 호스팅 정보’ 같은 이름의 메뉴를 찾습니다. 현재 버전이 표시됩니다(메뉴 이름은 호스팅사마다 다름).
- 워드프레스 사이트 상태: 관리자 화면의 ‘도구 → 사이트 상태 → 정보 탭 → 서버’ 항목에서 PHP 버전을 볼 수 있습니다(워드프레스 버전에 따라 표시 위치가 다를 수 있음).
- phpinfo 파일은 권하지 않습니다: 서버 설정이 그대로 노출될 수 있어, 임시로 만들었다가 지우지 않으면 오히려 위험합니다. 위 두 방법으로 충분합니다.
업데이트는 이 순서로
- 호스팅사 공지 확인: 이미 패치를 적용했는지, 직접 버전을 바꿔야 하는지 확인합니다.
- 백업: 파일과 데이터베이스를 백업합니다(호스팅 자동 백업이 있어도 백업 시점을 확인).
- PHP 버전 변경: 관리화면에서 쓰는 계열의 수정 버전 이상, 또는 호스팅사가 제공하는 지원 버전으로 올립니다. 호스팅사가 아직 수정 버전을 제공하지 않으면 제공 시점을 문의합니다.
- 사이트 점검: 메인·글·관리자 화면이 열리는지, 오류 메시지가 없는지 확인합니다. 플러그인·테마가 새 버전과 맞지 않으면 오류가 날 수 있어, 문제가 생기면 이전 상태로 되돌린 뒤 호스팅사·플러그인 제작사에 문의합니다.
- 워드프레스·플러그인 업데이트 상태 확인: 이번 취약점과 별개로 평소 하는 일반 점검입니다.
당장 올릴 수 없다면
NCSC는 업데이트나 임시 완화가 어렵거나 오래 걸리면 시스템을 완전히 완화할 때까지 오프라인 전환을 고려하라고 안내했고, CISA는 웹 애플리케이션 방화벽(WAF)을 패치 전까지의 임시 보호로 고려하라고 했습니다. Help Net Security에 따르면 Cloudflare는 알려진 공격 경로에 대한 WAF 규칙을 무료 요금제 포함 전 고객에게 배포했습니다. 다만 WAF는 어디까지나 임시 보호이고 패치를 대신하지 못합니다. 개인 블로그가 오프라인 전환까지 해야 하는지는 상황에 따라 다르니, 호스팅사와 상의해 판단하세요.
PHP 보안 권고는 memory_limit 값을 제한 없음(-1)으로 두면 노출이 줄어들 수 있으나 완전한 해결책은 아니라고 적었습니다. 서버 안정성에 영향이 있을 수 있어, 공유 호스팅 사용자가 임의로 바꾸라고 권하지는 않습니다.
출처·확인일
- PHP 개발팀 보안 권고 GHSA-w8hw-w9fx-j79w (CVE-2026-109618, CVSS v4 9.2) — GitHub
- php.net 릴리스 공지(PHP 8.5.12·8.4.27, 2026-10-21) — php.net, 변경 내역 ChangeLog
- NCSC(영국), Critical security issue affecting PHP, 2026-10-21 — NCSC
- CISA(미국), Critical Vulnerabilities in PHP Require Immediate Patching, 2026-10-21 — CISA
- Help Net Security, PHP2Shell 관련 기사, 2026-10-21 — 기사 보기
확인일: 2026년 10월 22일(php.net 공지·ChangeLog, GitHub 보안 권고, CISA, NCSC, Help Net Security 원문을 이날 직접 열어 대조했습니다). 이 글은 일반 정보이며 개별 사이트의 안전을 보장하지 않습니다. 이미지는 AI로 만든 설명용 이미지입니다.
