Kanorio 마케팅 팀 · 게시 2026. 10. 22.
웹사이트가 정상적으로 작동하고 있고 아무런 경고도 받지 않았는데, 왜 갑자기 PHP 긴급 업데이트를 수행하라는 요청을 받게 된 걸까요? 2026년 10월 21일, 다카이치 사나에 일본 총무대신은 웹사이트 관리자들에게 PHP 패치를 적용할 것을 강력히 권고하는 성명을 발표하며 이 기술적 보안 문제에 대한 경각심을 일깨웠습니다.
워드프레스를 사용 중이라면 가장 먼저 확인해야 할 핵심 사항은 다음과 같습니다. "현재 서버에서 실제로 실행 중인 PHP 버전에 패치가 적용되었는가?" 워드프레스 관리자 페이지에서 플러그인을 업데이트하는 것만으로는 서버 수준의 PHP 패치를 대신할 수 없습니다.
이 가이드에서는 이번 취약점의 세부 사항, 버전 확인 방법, 호스팅 환경별 대응 단계, 그리고 업데이트가 불가능하거나 오류가 발생한 경우, 또는 해킹이 의심되는 경우의 대처법을 다룹니다. 엔지니어가 아니더라도 누구에게 연락해야 하며 무엇을 확인해야 하는지 알 수 있게 될 것입니다.
참고: 다카이치 사나에 총무대신 성명, PHP 공식 보안 공지
이번 공지는 CVE-2026-109618 및 CVE-2026-109619라는 두 가지 PHP 취약점과 관련이 있습니다. 이 취약점은 인증되지 않은 공격자가 영향을 받는 환경에서 코드를 실행할 수 있게 할 위험이 있습니다. 문제는 특정 워드프레스 플러그인이 아닌, PHP 실행 환경 자체에 있습니다.
워드프레스를 콘텐츠 관리 도구로, PHP를 이를 구동하는 기반으로 생각하십시오. 워드프레스 자체를 업데이트하더라도 기반이 되는 PHP는 별도의 주의가 필요합니다. 당국은 또한 이 위험이 특정 서버 배포 방식에만 국한되지 않는다고 경고했습니다.
하지만 "사이트에 취약점이 있다", "사이트가 일시적으로 오프라인 상태다", "사이트가 해킹당했다"는 세 가지는 서로 다른 개념입니다. 예를 들어, 일본 재무성은 긴급 점검과 패치 적용을 위해 일부 서비스를 일시 중단한다고 발표했습니다. 이러한 예방적 다운타임을 자동으로 "사이트가 해킹당했다"고 해석해서는 안 됩니다.
웹사이트 소유자에게 가장 중요한 것은 이상 징후가 나타나기를 기다리는 대신, 지금 즉시 자신의 환경을 검증하는 것입니다.
참고: PHP 공식 보안 공지, 일본 재무성 | PHP 취약점으로 인한 서비스 일시 중단 공지
워드프레스 관리자 페이지에서 "도구" → "사이트 건강"으로 이동한 뒤, "정보" 탭을 클릭하여 서버 관련 정보를 확인하십시오. 인터페이스 명칭은 버전이나 언어 설정에 따라 약간 다를 수 있습니다. 또는 호스팅 업체에 문의하여 현재 사이트에서 실행 중인 정확한 PHP 버전을 확인하십시오.
단순히 "PHP 8"이라고 기록하지 말고 전체 버전 번호를 확인하십시오. 동일한 호스팅 계정 내의 사이트라도 서로 다른 버전을 사용할 수 있으므로 각각 개별적으로 확인해야 합니다.
이 글의 업데이트 시점을 기준으로, 공식 PHP 패치 적용 버전은 다음과 같습니다.
| PHP 브랜치 | 현재 패치 버전 | 필요한 조치 |
|---|---|---|
| PHP 8.2 | 8.2.35 | 이 버전 또는 동일한 패치가 포함된 이후 버전으로 업데이트하십시오 |
| PHP 8.3 | 8.3.36 | 이 버전 또는 동일한 패치가 포함된 이후 버전으로 업데이트하십시오 |
| PHP 8.4 | 8.4.27 | 이 버전 또는 동일한 패치가 포함된 이후 버전으로 업데이트하십시오 |
| PHP 8.5 | 8.5.12 | 이 버전 또는 동일한 패치가 포함된 이후 버전으로 업데이트하십시오 |
| PHP 8.1 이전 | 표준 업데이트 경로에 해당하지 않음 | 벤더를 통해 백포트된 수정 사항을 확인하고 업그레이드 일정을 잡으십시오 |
일부 리눅스 배포판이나 장기 지원(LTS) 제공업체는 기존 패키지에 수정 사항을 백포트(backport)하므로, 화면에 표시된 버전 번호만으로 판단할 수 없습니다. 호스팅 업체가 패치가 적용되었다고 주장한다면, 해당 공지 사항, 패키지 버전 또는 패치 로그를 요청하여 두 CVE가 모두 포함되었는지 확인하십시오.
오래된 브랜치에 이러한 백포트가 적용되었다고 해서 장기적인 보안 지원이 완전히 회복된 것은 아닙니다.
참고: CERT-EU | PHP 치명적 취약점 및 패치 권장 사항
| 웹사이트 환경 | 주요 연락처 | 확인해야 할 핵심 항목 |
|---|---|---|
| 공유/가상 호스팅 | 호스팅 지원팀 | 패치가 적용되었습니까? PHP 버전을 수동으로 전환해야 합니까? 언제 적용됩니까? |
| 관리형 워드프레스 | 관리형 서비스 제공업체 | PHP 업데이트가 서비스에 포함되어 있습니까? 완료 일정 및 검증 결과를 확인하십시오 |
| 자체 관리형 VPS/클라우드 | 엔지니어 또는 시스템 관리자 | 공개된 모든 인스턴스가 업데이트되었습니까? 이전 프로세스가 교체되었습니까? |
| 유지보수 상태가 불분명한 외주 사이트 | 개발 대행사 및 호스팅 제공업체 | 패치 적용, 테스트, 완료 보고의 책임자는 누구입니까? |
이 표는 연락처와 업무 분담에 대한 제안을 제공하며, 실제 책임 소재는 서비스 계약에 따라 확인해야 합니다. 누군가 사이트를 구축해 주었다고 해서 그들이 지속적인 PHP 업데이트를 자동으로 처리하고 있다는 의미는 아닙니다.
운영 알림 및 면책 조항: 이 글은 2026년 10월 22일 기준 공식 공지를 바탕으로 작성되었으며 참고용으로만 활용하십시오. 개별 사이트에 대한 보안 진단이나 보증을 의미하지 않습니다. 호스트, 테마, 플러그인과의 호환성은 다를 수 있습니다. 조치를 취하기 전에 복구 가능한 백업이 있는지 확인하고, 호스팅 업체나 유지보수 팀과 절차를 확인하십시오. 해킹이 의심되는 경우 별도의 조사가 필요하며, 업데이트 성공이 곧 보안을 보장하는 것은 아닙니다.
업데이트 전에 사이트 파일과 데이터베이스를 모두 백업하고, 누가 복구를 책임지는지 확인하십시오. 게시물만 다운로드하는 것으로는 사이트 전체를 복구하기에 충분하지 않습니다.
백업이나 테스트를 기다리는 동안 패치되지 않은 사이트를 노출하지 마십시오. 즉시 조치할 수 없다면, 유지보수 팀에 백업 및 업데이트를 진행하기 전에 외부 접근 제한을 검토하도록 요청하십시오.
해킹이 의심되는 경우, 먼저 로그와 환경 스냅샷을 보존하십시오. 이 스냅샷에는 "조사 중"이라고 표시하고 깨끗한 백업으로 사용하지 마십시오.
참고: 워드프레스 | PHP 업데이트 준비, 워드프레스 | FAQ: 사이트가 해킹당한 경우, CERT-EU | 패치 및 격리 권장 사항
공유 호스팅 사용자는 업체의 공지 사항이나 지원 안내를 따르십시오. 제어판에서 "8.3" 또는 "8.4"만 선택할 수 있는 경우에도 백그라운드에서 실행 중인 실제 패치 버전을 확인하십시오.
자체 관리 서버의 경우, 시스템 관리자가 OS, 패키지 소스 또는 컨테이너 배포 방식에 따라 업데이트해야 합니다. 이 글에서는 패키지 이름과 서비스 관리 방식이 환경마다 다르므로 범용적인 명령어를 제공하지 않습니다.
이 패치의 핵심은 PHP 실행 환경입니다. 워드프레스 코어, 테마, 플러그인도 항상 최신 상태로 유지해야 하지만, 이러한 업데이트가 PHP 패치를 대신하지는 않습니다.
참고: PHP 공식 보안 공지
유지보수 팀에 설정에 따라 서비스가 재시작 또는 재배포되었으며, 더 이상 이전 PHP 프로세스를 사용하지 않는지 확인하도록 요청하십시오. 여러 서버나 컨테이너를 사용하는 경우 각각 개별적으로 확인하십시오.
명령줄에 표시되는 PHP 버전만 신뢰하지 마십시오. 명령줄과 웹 서비스는 서로 다른 실행 환경을 사용할 수 있으므로, 실제 방문자의 요청에 응답하는 서비스를 포함하여 검증해야 합니다.
이것이 업데이트 검증의 실질적인 핵심입니다. 패키지가 다운로드되었는지, 제어판이 전환되었는지, 사이트가 패치된 버전을 사용 중인지 모두 확인하십시오. 하나만 확인해서는 안 됩니다.
최소한 다음 사항을 확인하는 것을 권장합니다.
이 체크리스트는 기본적인 기능과 패치 확인을 위한 것이며, 정밀 조사나 보안 감사를 대신할 수 없습니다.
예를 들어, 공유 호스팅을 사용하는 디자인 스튜디오가 취약점 소식을 접했다면, 사이트 URL과 PHP 버전을 나열하고 호스트에 패치 확인을 요청한 뒤, 개발자가 포트폴리오 페이지와 문의 폼을 테스트하도록 할 수 있습니다. 완료의 근거는 "홈페이지가 로드된다"가 아니라 패치 로그와 테스트 결과여야 합니다. 이는 실제 사례가 아닌 예시 과정입니다.
플러그인이나 방화벽을 완벽한 해결책으로 여기지 마십시오.
Cloudflare는 이 취약점에 대한 보호 조치를 발표했지만, 여전히 PHP 업데이트는 필요합니다. 트래픽이 실제로 보호 기능을 통과하는지, 규칙이 적용되는지, 원본 서버에 직접 접근 가능한 다른 경로가 없는지 등은 관리자가 직접 확인해야 합니다.
단기간에 패치를 적용할 수 없다면, CERT-EU는 패치가 적용되고 검증될 때까지 영향을 받는 서비스를 공용 인터넷에서 격리하는 것을 고려하라고 권장합니다. 일시적인 기술 설정은 한계가 있으므로 유지보수 담당자가 평가해야 하며, 일반 사이트 소유자가 익숙하지 않은 설정을 복사하는 것은 권장하지 않습니다.
특히 주의: 워드프레스 유지보수 모드를 활성화한다고 해서 취약한 PHP에 대한 요청을 반드시 막을 수 있는 것은 아닙니다. 일부 공격 경로는 애플리케이션이 실행되기 전에 트리거될 수 있으므로, 유지보수 페이지를 완벽한 격리로 간주할 수 없습니다.
참고: Cloudflare | PHP 취약점 보호, CERT-EU | PHP 치명적 취약점 대응
업데이트 후 발생하는 오류는 테마, 플러그인 또는 사용자 정의 코드와의 호환성 문제일 수 있습니다. 유지보수 팀에 오류 로그를 확인하고 관련 구성 요소를 조정하도록 요청하십시오.
단순히 화면을 복구하기 위해 공개 사이트를 패치되지 않은 PHP 버전으로 되돌리지 마십시오. 문제 해결을 위해 환경을 되돌려야 한다면, 먼저 외부 접근을 제한한 뒤 정상적으로 작동하는 패치된 버전을 준비하십시오.
이는 조사가 필요한 위험 신호이지만, 이 특정 취약점만으로 발생했다고 단정하지 마십시오.
호스팅 업체나 보안 팀에 연락하고 접근 로그, 오류 로그, 환경 스냅샷을 보존하십시오. 사이트를 격리하고 필요에 따라 환경을 정리하거나 재구축하며, 침해되었을 가능성이 있는 계정 정보를 처리하십시오. 의심스러운 파일을 서둘러 삭제하지 마십시오. 이는 추가 조사를 방해합니다.
PHP를 업데이트하면 취약점은 해결되지만, 이미 심어진 백도어가 자동으로 제거되지는 않습니다. 마찬가지로 백업을 복원할 때는 백업 시간, 콘텐츠 무결성, 복원된 환경에 패치가 적용되었는지 확인하십시오.
이번 사건은 소규모 브랜드에게 웹사이트 빌더를 선택할 때 향후 보안 업데이트와 인시던트 대응 책임이 누구에게 있는지 확인해야 한다는 점을 상기시켜 줍니다.
예를 들어, Kanorio는 공개 사이트에 Cloudflare 에지 네트워크를 사용하여 DDoS 완화 및 WAF 보호를 제공하는 동시에, SSL 인증서와 HTTPS 연결을 자동으로 관리하여 브랜드가 기본적인 보안을 위해 해야 할 작업을 줄여줍니다. 하지만 이러한 조치가 위험 제로를 의미하지는 않으므로, 소유자는 계속해서 계정을 보호하고 이상 징후를 주시해야 합니다. 이 글은 본 플랫폼이 이 취약점으로부터 완전히 자유롭다는 것을 의미하지 않습니다.
더 알아보기: Kanorio 웹사이트 보안
네, 둘은 별개입니다. 워드프레스는 애플리케이션이고 PHP는 기반 실행 환경입니다. 이번 패치의 핵심은 PHP이므로 호스팅 업체로부터 패치 적용 확인을 받으십시오.
사이트가 로드된다고 해서 위험이 없는 것은 아닙니다. 가능한 한 빨리 패치 상태를 확인하십시오. 즉시 업데이트할 수 없다면 유지보수 팀과 접근 제한이나 서비스 일시 중단을 논의하십시오.
업체가 백포트된 수정 사항을 사용 중일 수 있습니다. 호스트에 패키지 세부 정보나 보안 권고문을 요청하여 CVE-2026-109618 및 CVE-2026-109619가 포함되었는지 확인하십시오. 구두 확인만 신뢰하지 마십시오.
참고: PHP 공식 보안 공지
반드시 그렇지는 않습니다. 백업에 악성 콘텐츠가 포함되어 있을 수 있고, 복원된 환경이 여전히 패치되지 않은 PHP를 사용하고 있을 수 있습니다. 해킹이 의심된다면 별도의 조사와 검증이 필요합니다.
어디서부터 시작해야 할지 모르겠다면 호스팅 업체나 유지보수 담당자에게 연락하여 세 가지를 확인하십시오. 실제로 사용 중인 PHP 버전은 무엇인지, 이 두 가지 취약점이 패치되었는지, 업데이트 후 누가 사이트 기능을 검증할 것인지입니다.
엔지니어링 리소스가 없는 스튜디오나 소규모 브랜드는 향후 웹 서비스를 평가할 때 보안 업데이트와 유지보수 책임을 고려하십시오. 본 플랫폼이 제공하는 기본적인 보호 기능은 Kanorio 보안 개요에서 확인할 수 있으며, 사이트의 필요에 따라 유지보수를 계획하십시오.