PHP2Shell 긴급 보안 취약점! 워드프레스 PHP 버전 확인과 호스팅어 대응 방법 (2026)

작성일자 글쓴이

2026년 10월 21일, PHP 개발팀이 원격 코드 실행으로 이어질 수 있는 심각한 보안 취약점 2건을 수정하는 긴급 업데이트를 공개했습니다. 이 취약점은 PHP2Shell이라는 이름으로 알려졌습니다.

워드프레스 블로그를 운영한다면 사용 중인 PHP 버전뿐 아니라 호스팅 업체가 실제 보안 패치를 적용했는지 확인하는 것이 중요합니다. 워드프레스 자체를 최신으로 업데이트했더라도 PHP 보안 패치가 자동으로 완료되는 것은 아닙니다.

1. PHP2Shell 취약점은 무엇인가?

PHP는 워드프레스 같은 사이트에서 서버 측 코드를 실행하는 프로그래밍 언어입니다. 이번 문제는 요청을 처리하는 중 오류가 발생했을 때 메모리를 정리하는 과정에서 일어나는 결함입니다. 공격에 성공한 경우 서버에서 임의 코드를 실행하거나 정보에 접근할 수 있습니다.

취약점 번호 공개된 문제
CVE-2026-109618 메모리 부족 상황에서 내부 상태가 정상적으로 정리되지 않는 문제
CVE-2026-109619 해제된 메모리를 다시 참조할 수 있는 문제

두 취약점은 공개된 기술 권고에서 높은 위험도로 평가됐습니다. 다만 취약한 PHP 버전을 사용했다고 해서 이미 해킹되었다는 의미는 아닙니다. 실제 영향은 서버 구성과 패치 상태에 따라 달라집니다.

2. PHP 보안 수정 버전 확인

PHP 계열 긴급 보안 수정 버전
8.2 8.2.35
8.3 8.3.36
8.4 8.4.27
8.5 8.5.12

PHP 프로젝트의 공식 배포판에서는 위 버전 이상으로 업데이트하는 것이 권장됩니다. PHP 8.1 이하는 공식 지원이 종료되었으므로 지원 중인 버전으로 이전하는 것이 좋습니다.

중요: 일부 호스팅 업체는 기존 버전 번호를 유지한 채 보안 수정 사항만 별도로 반영합니다. 따라서 PHP 8.3.35 같은 번호가 보이더라도 패치 적용 여부는 호스팅 업체의 공지와 빌드 정보로 확인해야 합니다.

3. 워드프레스에서 현재 PHP 버전 확인하는 법

  1. 워드프레스 관리자 화면에 로그인합니다.
  2. 도구 → 사이트 건강으로 이동합니다.
  3. 정보 탭을 선택합니다.
  4. 서버를 펼칩니다.
  5. 표시된 PHP 버전을 확인합니다.

표시된 번호는 첫 번째 확인 항목일 뿐입니다. 업체의 별도 보안 패치 적용 여부는 추가로 점검해야 합니다.

4. 호스팅어(Hostinger)는 어떻게 대응했을까?

호스팅어는 2026년 10월 22일 기준 관리형 호스팅 서버에 PHP 관련 보안 패치를 배포 완료했다고 공지했습니다. 일반 웹호스팅·Agency·cPanel 호스팅 사용자는 업체 측에서 업데이트를 관리하며, 직접 PHP 서버를 관리하는 VPS 사용자는 별도 조치가 필요합니다.

호스팅어에서는 hPanel → Websites → Dashboard → PHP Info에서 Build Date를 확인할 수 있다고 안내합니다. 빌드 날짜가 2026년 10월 21일 이후라면 이번 수정 사항을 적용한 빌드라는 것이 호스팅어의 설명입니다.

따라서 호스팅어를 사용한다면 버전 숫자가 바뀌었는지만 확인하기보다 공식 보안 공지와 Build Date를 함께 확인하세요.

5. 보안 업데이트 전후에 확인할 5가지

① PHP 버전과 실제 패치 상태

사이트 건강 화면과 호스팅 패널에서 사용 중인 PHP 버전 및 적용된 보안 패치를 확인합니다. 자체 VPS라면 모든 PHP 프로세스에 수정이 적용되어 있는지도 점검해야 합니다.

② 웹사이트 전체 백업

PHP 버전이나 워드프레스 구성을 바꾸기 전에 사이트 파일과 데이터베이스를 모두 백업합니다. 자동 백업이 있더라도 변경 직전에 복구 지점을 확보하는 것이 좋습니다.

③ 워드프레스·테마·플러그인 업데이트

PHP 취약점은 PHP 패치로 해결해야 합니다. 동시에 워드프레스와 플러그인에서 별도로 공개된 보안 문제도 처리해야 전체 사이트의 위험을 줄일 수 있습니다.

④ 변경 후 기능 점검

첫 화면과 게시글, 이미지, 관리자 로그인, 광고, 문의 양식, 게시판, SEO 사이트맵이 정상 동작하는지 확인합니다. 오류가 발생한다면 호환성 문제를 살펴보고 백업을 이용해 복구할 수 있도록 준비하세요.

⑤ 로그 점검과 계정 보안

KISA는 2026년 10월 20일 이후의 서버 기록을 점검하고 의심스러운 파일 생성, 비정상적인 서버 오류, 웹셸 가능성 등을 확인하도록 권고했습니다. 실제 침해 정황이 있다면 증거를 보존하고 적절한 사고 대응 절차를 따르는 것이 중요합니다.

6. 자주 묻는 질문

Q. PHP 8.3.35가 표시되면 무조건 취약한가요?

공식 PHP 8.3.35에는 이번 수정 사항이 포함되지 않았지만, 호스팅 업체에서 별도로 백포트 패치를 적용했을 수 있습니다. 버전 번호뿐 아니라 업체의 빌드·패치 정보를 확인하세요.

Q. 워드프레스를 최신 버전으로만 올리면 해결되나요?

아닙니다. 워드프레스 코어 업데이트와 서버의 PHP 패치는 별개의 작업입니다.

Q. PHP 버전을 변경하면 글이 사라지나요?

일반적으로 게시글은 데이터베이스에 그대로 남습니다. 하지만 플러그인이나 테마 호환성 문제가 발생할 수 있으므로 전체 백업 후 변경하는 것을 권장합니다.

Q. 패치가 완료되면 모든 보안 문제가 해결되나요?

이번에 공개된 PHP 취약점에 대한 수정과 다른 플러그인 취약점, 약한 비밀번호, 과거 침해 기록은 서로 다른 문제입니다. 각각 확인해야 합니다.

7. 정리

PHP2Shell은 PHP 기반 사이트 운영자가 반드시 점검해야 할 보안 이슈입니다. 관리형 웹호스팅을 사용하는 경우 업체의 공지와 실제 패치 적용 여부를 확인하고, 직접 서버를 관리하는 경우 지원되는 수정 버전으로 업데이트하세요. 워드프레스·플러그인 관리와 백업도 함께 점검하는 것이 좋습니다.

공식 참고 자료

자료 확인일: 2026년 10월 23일. 공식 발표 내용은 추후 변경될 수 있습니다.