PHP 취약점을 점검할 때는 웹사이트가 실제로 사용하는 PHP 버전부터 확인해야 해요. 워드프레스 관리자 화면의 ‘사이트 건강’에서 웹 PHP 버전을 확인하고, 아래의 수정 버전 표와 대조하세요. 10월 23일 추가 안내와 Windows 패키지 재배포는 별도로 확인해야 해요.
이 글은 2026년 10월 27일 확인한 공식 공지를 기준으로, 워드프레스 운영자가 호스팅 업체에 무엇을 확인하고 어떤 기록을 받아야 하는지 정리했어요. 호스팅을 맡긴 경우와 직접 서버를 관리하는 경우를 나눠 확인할 수 있어요.
PHP 취약점 위험 버전과 최소 수정 버전
2026년 10월 21일 공개된 CVE-2026-109618과 CVE-2026-109619는 조건에 따라 로그인하지 않은 공격자가 서버에서 코드를 실행할 수 있는 취약점이에요. PHP 공식 권고와 두 보안 문서에서 안내한 지원 버전별 수정 기준은 다음과 같아요.
화면이 좁으면 표를 좌우로 밀어 나머지 열을 확인할 수 있어요.
| 계열 | 최소 수정 버전 | 수정 대상 |
|---|---|---|
| PHP 8.2 | 8.2.35 | 8.2.35 미만 |
| PHP 8.3 | 8.3.36 | 8.3.36 미만 |
| PHP 8.4 | 8.4.27 | 8.4.27 미만 |
| PHP 8.5 | 8.5.12 | 8.5.12 미만 |
위 숫자는 두 취약점의 수정이 처음 포함된 버전이에요. 모든 보안 문제가 해결됐다는 뜻은 아니므로, 실제 업데이트할 때는 해당 계열의 후속 보안 공지도 확인해야 해요. 배포판이나 장기 지원 업체가 구버전에 보안 수정을 따로 적용했다면, 버전 문자열과 함께 공급사의 CVE 적용 기록을 확인하세요.
PHP 보안팀은 Apache의 mod_php 환경을 특히 높은 위험으로 안내했어요. PHP-FPM 등 다른 웹 실행 환경도 점검 대상이에요. 공격이 가능한 세부 조건은 CVE-2026-109618 공식 권고와 CVE-2026-109619 공식 권고에서 구분하고 있어요.
PHP 8.1 이하는 PHP 프로젝트의 공식 지원이 끝났어요. 공급사 패치를 확인하고 지원 계열로 옮길 계획을 세워야 해요.
PHP 8.2도 공식 보안 지원이 2026년 12월 31일에 끝나요. 현재 필요한 패치를 적용하면서, 테마와 플러그인이 지원하는 다음 PHP 계열로 옮길 일정도 함께 검토하는 편이 좋아요. 지원 기간은 PHP 공식 지원 버전 표에서 다시 확인할 수 있어요.
10월 23일·26일 공지도 따로 확인하세요
세션 처리 방식을 바꾸는 앱은 추가 확인이 필요해요
10월 23일 추가 안내는 CVE-2026-115560에 관한 내용이에요. 앱이 session.serialize_handler를 php_binary 또는 php_serialize로 설정한 뒤, 실행 중에 ini_set()으로 php로 바꾸고 session_start()를 호출하는 특수한 조합에서 문제가 생길 수 있어요. 세션 업로드 진행 기능도 켜져 있어야 해요.
공식 안내는 다음 정기 수정 릴리스 전까지 session.upload_progress.enabled=0 설정을 권고하고 있어요. 실행 중 직렬화 방식을 바꾸지 않는 앱은 해당 기능을 계속 사용할 수 있다고 설명해요. 워드프레스 운영자가 설정을 추측해서 바꾸기보다, 개발·호스팅 담당자에게 이 조건에 해당하는지 확인하는 게 좋아요.
Windows는 PHP 버전 숫자가 같아도 패키지가 다를 수 있어요
10월 26일에는 Brotli 취약점 CVE-2026-111497을 수정한 Windows 패키지 8.2.35-1·8.3.36-1·8.4.27-1·8.5.12-1이 다시 배포됐어요. 뒤의 -1은 의존 라이브러리를 갱신한 패키지 표시여서 PHP 자체의 버전 숫자는 바뀌지 않아요.
Windows에서 PHP를 운영한다면 다운로드한 패키지와 적용 기록까지 확인하세요. 이 문제는 cURL 확장에서 자동 응답 압축 해제를 사용하는 경로와 관련돼요. 해당 기능은 기본적으로 꺼져 있지만 앱이나 HTTP 클라이언트 라이브러리가 켤 수 있어요. 두 후속 안내는 PHP 공식 공지의 10월 23일·26일 항목에서 확인할 수 있어요.
워드프레스에서 현재 웹 PHP 버전 확인하기
- 워드프레스 관리자에서 도구 → 사이트 건강으로 이동해요.
- 정보 → 서버를 열고 PHP 버전과 PHP SAPI 항목을 확인해요. SAPI는 PHP가 웹서버와 연결되는 실행 방식을 뜻해요.
- 확인 시각, 사이트 주소, PHP 버전과 실행 방식을 내부 점검 기록에 남겨요.
- 버전이 수정 기준보다 낮거나 공급사 패치 여부가 불분명하면 호스팅 업체에 확인을 요청해요.
메뉴의 기본 위치는 WordPress 공식 Site Health 문서에 나와 있어요. 관리자 권한이나 호스팅 환경에 따라 정보가 제한되면, 웹 요청을 처리하는 PHP 버전을 호스팅 업체에 물어보세요.
워드프레스 코어·테마·플러그인 업데이트와 서버의 PHP 업데이트는 각각 확인해야 해요. PHP 버전은 호스팅 서버에서 정하므로, 워드프레스 업데이트 완료 메시지만으로 PHP 패치까지 적용됐다고 판단할 수는 없어요.
CLI 버전과 웹 버전이 다르면 무엇을 믿어야 할까요?
서버에 접속해 php -v를 실행하면 현재 셸에서 선택한 PHP 명령의 버전이 나와요. 하지만 워드프레스 요청을 처리하는 PHP-FPM이나 Apache가 다른 PHP를 사용할 수도 있어요. 웹사이트 점검에서는 실제 웹 요청을 처리하는 실행 환경을 확인해야 해요.
| 운영 형태 | 확인할 대상 | 완료 기록에 남길 근거 |
|---|---|---|
| 관리형·공유 호스팅 | 해당 사이트에 연결된 웹 PHP | 업체의 CVE 적용 회신과 적용 후 사이트 건강 정보 |
| 직접 관리하는 서버 | PHP-FPM 또는 Apache의 PHP 실행 환경 | 설치 패키지, 웹 PHP 버전, 작업자 프로세스 재시작 기록 |
| 컨테이너로 운영 | 현재 웹 요청을 처리하는 컨테이너 | 교체한 이미지 식별 정보와 새 컨테이너의 웹 PHP 버전 |
| Windows 서버 | PHP 실행 파일과 재배포 패키지 | PHP 버전, 패키지 파일명·적용 시각, Brotli 보안 수정 포함 여부 |
이 표는 공지의 버전 정보를 운영 기록에 연결하기 위한 점검 기준이에요. 업체가 보안 수정을 구버전에 따로 적용했다고 답했다면 “최신 상태”라는 표현보다 해당 CVE 번호와 패키지 릴리스 정보를 받아 두는 편이 정확해요.
업데이트 후에는 사이트가 계속 작동하는지 확인해요
PHP를 바꾸면 오래된 테마나 플러그인에서 호환성 문제가 드러날 수 있어요. WordPress의 PHP 업데이트 안내처럼 백업과 호환성 확인을 준비하되, 실제로 사용할 버전은 최신 PHP 지원 표와 보안 공지를 기준으로 정하세요.
- 복원 가능한 백업을 준비해요. 파일과 데이터베이스를 함께 백업하고, 테스트 환경이 있으면 주요 기능을 먼저 확인해요.
- 호환되는 지원 계열의 보안 업데이트를 적용해요. 호스팅 제어판이나 서버 관리 절차에 따라 진행해요.
- 웹 요청을 처리하는 프로세스까지 교체해요. 담당자가 해당 환경에 맞게 PHP 작업자를 재시작하거나 컨테이너를 재배포해요.
- 웹 PHP 버전을 다시 확인해요. 사이트 건강 화면의 정보와 패키지 적용 기록이 일치하는지 봐요.
- 방문자 기능과 관리자 기능을 확인해요. 글 열기, 로그인, 문의 폼, 파일 업로드처럼 실제로 사용하는 기능을 점검하고 오류 로그도 살펴봐요.
낯선 관리자 계정이나 파일 변조처럼 침해가 의심되는 흔적을 발견했다면 일반 업데이트 순서와 구분해야 해요. 보안 담당자와 격리·로그 보존·조사 순서를 먼저 정하고, 흔적을 지울 수 있는 삭제나 재설치를 서두르지 마세요.
KISA의 PHP 보안 대응 수칙은 업데이트 전 인터넷에 노출됐던 서버의 중요 인증정보 교체도 권고해요. DB 비밀번호나 API 키 변경은 연동 서비스에 영향을 줄 수 있으니, 담당자가 연결된 서비스와 적용 순서를 함께 확인해야 해요.
호스팅 업체에는 이 항목을 확인해 달라고 요청하세요
- 현재 내 도메인의 웹 요청을 처리하는 PHP 버전과 실행 방식
- CVE-2026-109618·CVE-2026-109619 수정이 적용된 패키지와 적용 시각
- CVE-2026-115560의 설정 조건에 해당하는지, 추가 조치가 필요한지
- Windows라면 10월 26일 Brotli 수정 패키지 적용 여부
- 적용 후 작업자 재시작·재배포 여부와 확인 가능한 웹 PHP 버전
답변을 받은 뒤에는 첫 표의 버전만 대조하고 끝내지 말고, 실제 웹 PHP와 적용 기록이 맞는지 확인하세요. 업데이트 과정에서 점검용 검색 차단 설정을 바꿨다면, 워드프레스 robots.txt 확인 방법을 참고해 공개 상태도 다시 점검할 수 있어요.
출처와 확인일
원문 확인일: 2026년 10월 27일. 취약점별 조건과 패치 배포 상황은 달라질 수 있으므로, 작업 직전에는 본문에 연결한 공식 공지를 다시 확인하세요.