PHP 보안 취약점, 홈페이지가 안전해도 서버 업데이트가 필요한 이유

2026.10.22 발생 · 한지우 · 최종 업데이트 2026.10.23 · 7분 읽기

결론부터

PHP 보안 취약점은 언어 자체의 결함이어서 홈페이지 코드를 안전하게 만들어도 영향을 받을 수 있습니다. 정부는 10월 22일 낮 12시 민간 사이버위기 경보를 ‘주의’로 높였습니다.
10월 21일 공개된 두 취약점의 수정 버전은 PHP 8.2.35·8.3.36·8.4.27·8.5.12입니다. 지원이 끝난 구버전은 공급업체의 별도 패치 여부를 확인하거나 지원 버전으로 옮겨야 합니다.
직접 조치할 주체는 서버 운영자입니다. 호스팅 이용자는 업체에 적용 여부를 확인하고, 일반 이용자에게 별도의 PHP 설치는 요구되지 않습니다.

국내 위기경보가 ‘주의’로 올라갔습니다

과학기술정보통신부와 한국인터넷진흥원(KISA)은 10월 22일 PHP를 쓰는 국내 기업·기관에 긴급 보안 업데이트를 당부했습니다. 전날 공개된 취약점 두 건이 고객 정보 유출과 홈페이지 변조·마비로 이어질 수 있다는 이유입니다. 23일 동아일보 보도에서도 국내 비상대응과 업데이트 권고가 이어졌습니다.

PHP는 쇼핑몰·게시판 같은 웹서비스의 요청을 서버에서 처리하는 프로그래밍 언어입니다. 워드프레스와 그누보드도 이를 기반으로 작동합니다. 이번 경보 상향은 23일의 새 발견이 아니라, 22일 정오부터 적용된 조치입니다.

로그인도 하지 않고 어떻게 공격하나

이번에 고쳐야 할 곳은 개별 홈페이지의 화면이나 비밀번호가 아니라, 그 아래에서 요청을 처리하는 PHP 자체입니다. PHP재단에 따르면 메모리 부족을 처리하는 과정과 오류 뒤 내부 상태를 정리하는 과정에서 결함이 생겼습니다. 공격자가 인증 없이 서버에서 코드를 실행할 수 있는 경로가 확인됐습니다.

특히 아파치 웹서버에서 PHP를 실행하는 방식인 ‘mod_php’에서는 홈페이지 프로그램이 실행되기 전 공격이 가능한 사례가 시연됐습니다. 다른 실행 방식인 PHP-FPM에서도 애플리케이션을 거치는 공격 경로가 확인됐습니다. 따라서 홈페이지 코드를 점검했다는 이유만으로 서버의 PHP 업데이트를 미룰 수 없습니다.

홈페이지 프로그램과 PHP 실행 환경은 다른 층입니다. PHP 자체의 결함은 서버 업데이트로 조치해야 합니다. 이해를 돕기 위한 개념도이며 실제 침해 화면은 아닙니다.

팩트체크

표 1. 보도에 나온 취약점·업데이트 주장과 원문 대조
주장	판정	원문에서 확인한 것
로그인 없이 서버에서 명령을 실행할 수 있는 취약점입니다	사실	PHP재단은 두 취약점의 원격 코드 실행 가능성과 검증된 공격 경로를 설명합니다. 모든 서버가 이미 해킹됐다는 뜻은 아닙니다.
PHP 8.2.35·8.3.36·8.4.27·8.5.12가 수정 버전입니다	사실	PHP 공식 보안 공지가 네 버전을 명시합니다. 각 버전 계열에서 취약점을 고친 릴리스이며, 공급업체가 기존 버전에 수정 내용을 적용한 경우는 업체 확인이 필요합니다.
PHP 8.1 이하는 공식 보안 업데이트가 제공되지 않습니다	사실	PHP 프로젝트의 정식 업데이트는 종료됐습니다. 다만 공식 공지는 일부 배포판·장기지원 업체의 별도 수정과 7.4·8.0·8.1용 최소 소스 수정본도 안내합니다.
정부가 민간 사이버위기 경보를 ‘관심’에서 ‘주의’로 높였습니다	사실	과기정통부의 22일 공식 안내에서 적용 시각을 낮 12시로 확인할 수 있습니다.

구버전이면 패치를 전혀 할 수 없나

‘정식 업데이트 종료’가 ‘어떤 공급업체도 고칠 수 없다’는 뜻은 아닙니다. PHP 공식 공지는 일부 리눅스 배포판과 장기지원 업체가 기존 버전에 수정 내용을 옮겨 적용하는 ‘백포트’를 제공한다고 안내합니다. PHP 보안팀이 공개한 최소 소스 수정본은 직접 빌드하는 운영자 등을 돕기 위한 것이므로, 일반 호스팅 고객이 내려받아 설치하는 완제품 업데이트와는 다릅니다.

구버전을 쓰고 있다면 호스팅사나 서버 공급업체에 이번 두 취약점의 수정 여부를 구체적으로 물어야 합니다. 별도 패치가 없다면 지원 버전으로 전환해야 합니다. 버전 번호가 그대로여도 수정됐을 수 있지만, 업체의 확인 없이 안전하다고 판단해서는 안 됩니다.

매체마다 어떻게 썼나

경향신문 — ‘정부는 22일 민간 분야 사이버 위기 ‘주의’ 경보를 발령하고, 관련 기업·기관에 즉시 보안 업데이트 적용을 당부했다.’ (10월 22일 기사)
동아일보 — ‘정부와 KISA는 웹사이트 운영 기업과 기관에 PHP를 최신 보안 버전으로 업데이트하고 서버를 재시작하도록 권고했다.’ (10월 23일 기사)
YTN — ‘또 보안 업데이트를 마쳤더라도 이상 접속 기록 등 침해 흔적을 점검한 뒤 피해가 의심되면 즉시 신고하라고 당부했습니다.’ (10월 22일 보도)

세 매체는 긴급 업데이트가 필요하다는 점을 공통으로 전합니다. 고른 문장에서는 경향신문이 경보와 즉시 적용을, 동아일보가 재시작을, YTN이 업데이트 뒤 침해 점검을 강조합니다. 서로 다른 해법을 주장하는 것이 아니라 대응의 앞뒤 단계를 설명합니다.

운영자와 일반 이용자에게 필요한 일

정부 안내는 운영 중인 PHP 버전 확인, 보안 업데이트, 웹서비스 재시작을 요구합니다. 패치 전에 침해됐을 가능성도 있으므로 이상 접속과 원격조종 파일 설치 흔적을 점검하고, 피해가 의심되면 KISA에 신고해야 합니다. 당장 업데이트가 어려운 경우 인터넷 분리나 일시 중단이 권고되지만, PHP 공식 공지는 임시 완화만으로 안전을 보장할 수 없다고 밝힙니다.

쇼핑몰이나 홈페이지를 호스팅 업체에 맡겼다면 업체에 보안 조치 적용 여부를 확인하면 됩니다. 일반 국민은 직접 PHP를 고칠 사항이 없다는 것이 정부 안내입니다. ‘공격 시험 코드’라며 배포되는 출처 불명 파일을 내려받거나 실행하지 말라는 주의도 함께 나왔습니다.

10월 23일 추가 확인: PHP 프로젝트는 세션 업로드 진행률 기능에 관한 추가 공지를 냈습니다. 설정 파일의 세션 직렬화 방식이 php_binary 또는 php_serialize이고, 프로그램 실행 중 이를 php로 바꾸는 드문 구성에서는 별도 위험 경로가 남을 수 있어 다음 정기 수정판 전까지 session.upload_progress.enabled=0 설정을 권고합니다. 실행 중 직렬화 방식을 바꾸지 않는 프로그램은 이 기능을 계속 켜둘 수 있다고 명시했습니다. 모든 서버에 같은 조건이 적용되는 것은 아니므로 운영자가 공식 공지와 실제 설정을 함께 확인해야 합니다.