PHP 보안 취약점 발생｜워드프레스 사이트도 위험할까? 버전 확인·업데이트 방법

2026년 10월 21일 PHP에서 매우 심각한 보안 취약점 2건이 공개됐습니다.

PHP 개발팀은 이번 취약점이 인증되지 않은 원격 공격자가 임의 코드를 실행할 수 있는 문제라고 밝혔고, 긴급 보안 버전을 배포했습니다.

이번에 공개된 취약점은

CVE-2026-109618
CVE-2026-109619

입니다.

PHP 개발팀은 이번 취약점에 대해 완전한 우회책은 없으며, 최신 보안 버전으로 업데이트하는 것이 유일한 안전한 대응이라고 안내했습니다.

어떤 PHP 버전으로 업데이트해야 할까?

2026년 10월 21일 배포된 수정 버전은 다음과 같습니다.

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

현재 PHP 8.2~8.5 계열을 사용하고 있다면 적어도 위 버전 이상으로 업데이트해야 이번 취약점 수정이 적용됩니다.

이번 취약점은 얼마나 심각할까?

PHP 개발팀은 이번 두 취약점의 CVSS v4.0 점수를 9.2로 평가했습니다.

이는 매우 높은 수준입니다.

특히 인증 없이 외부 요청만으로 공격이 가능할 수 있다는 점 때문에 위험도가 큽니다.

어떤 서버가 영향을 받을까?

PHP 공식 보안 공지에서는 다음과 같은 PHP 실행환경이 영향을 받을 수 있다고 안내하고 있습니다.

• PHP-FPM
• Apache mod_php
• php-cgi
• FrankenPHP
• LiteSpeed

그중에서도 mod_php 환경은 위험도가 특히 높은 것으로 평가됐습니다.

PHP 개발팀은 애플리케이션 코드가 실행되기 전 단계에서도 공격이 가능할 수 있다고 설명했습니다.

워드프레스 사이트도 위험할까?

가능성은 있습니다.

워드프레스는 PHP 기반으로 동작합니다.

즉 워드프레스 코어 자체에 취약점이 없어도, 서버에서 사용 중인 PHP 버전이 취약하다면 사이트가 영향을 받을 수 있습니다.

WordPress.org도 현재 워드프레스 운영환경으로 PHP 8.3 이상을 권장하고 있습니다.

모든 워드프레스 사이트가 해킹됐다는 뜻은 아니다

이 부분은 반드시 구분해야 합니다.

이번 발표는

PHP에 심각한 취약점이 발견됐다

는 의미입니다.

그렇다고 해서

모든 워드프레스 사이트가 이미 침해됐다

는 뜻은 아닙니다.

실제 위험도는

• PHP 버전
• 웹서버 구성
• 호스팅 환경
• 방화벽
• 패치 적용 여부

에 따라 달라집니다.

정부기관 사이트가 왜 내려갔을까?

로이터 보도에 따르면 유럽 여러 국가의 정부기관과 공공기관은 취약점 공개 직후 예방 차원에서 일부 사이트를 일시적으로 중단했습니다.

네덜란드·독일·프랑스·벨기에·핀란드 등의 정부·공공기관 사이트가 영향을 받았고, 일부 병원과 교육서비스도 오프라인 조치를 취했습니다.

중요한 점은 많은 경우 침해가 확인돼서가 아니라, 패치 적용 전 위험을 줄이기 위해 예방적으로 서비스를 내린 것이라는 점입니다.

실제 공격도 시작됐을까?

로이터는 취약점 공개 이후 초기 공격 시도가 관찰됐다고 보도했습니다.

특히 AI를 이용한 자동화 공격이 확산하면서 보안 취약점이 공개된 뒤 실제 공격까지 걸리는 시간이 더 짧아질 수 있다는 우려가 나오고 있습니다.

이 때문에 이번 패치는 가능한 한 빨리 적용하는 것이 좋습니다.

내 워드프레스 PHP 버전은 어떻게 확인할까?

워드프레스 관리자 화면에서 확인할 수 있습니다.

경로는

도구 → 사이트 건강 → 정보 → 서버

입니다.

여기에서

PHP 버전

항목을 확인하면 됩니다.

사이트 건강에서 무엇을 봐야 할까?

도구 → 사이트 건강 → 정보 → 서버에 들어가면 다음 항목을 확인할 수 있습니다.

• PHP 버전
• 웹서버
• PHP SAPI
• PHP 메모리 제한
• HTTPS 여부
• 데이터베이스 버전

이번 취약점에서는 특히 PHP 버전과 PHP 실행방식을 확인하는 것이 중요합니다.

PHP 버전이 8.5라면?

PHP 8.5를 사용 중이라면

8.5.12 이상

인지 확인해야 합니다.

8.5.11 이하라면 이번 긴급 보안 패치가 반영되지 않은 버전입니다.

PHP 8.4라면?

PHP 8.4 계열은

8.4.27 이상

으로 업데이트해야 합니다.

PHP 8.3이라면?

PHP 8.3 계열은

8.3.36 이상

으로 업데이트해야 합니다.

PHP 8.2라면?

PHP 8.2 계열은

8.2.35 이상

으로 업데이트해야 합니다.

하지만 PHP 8.2는 2026년 12월 31일 지원 종료 예정입니다.

따라서 단순히 8.2.35로만 올리는 것보다, 가능하면 PHP 8.3 이상으로 업그레이드 계획을 세우는 것이 좋습니다.

PHP 7.x를 사용 중이라면 더 주의

WordPress.org는 현재 PHP 8.3 이상을 권장합니다.

PHP 7.4 이상에서도 워드프레스가 동작할 수는 있지만, 오래된 PHP 버전은 공식 지원이 종료됐고 보안상 위험할 수 있습니다.

따라서 PHP 7.x를 사용 중이라면 단순 패치보다 지원되는 PHP 8.x 버전으로 업그레이드하는 것이 필요합니다.

PHP 업데이트는 워드프레스 관리자에서 하는 걸까?

보통 아닙니다.

PHP는 워드프레스 플러그인처럼 관리자 화면에서 직접 업데이트하는 프로그램이 아닙니다.

대부분

• 호스팅 관리페이지
• 서버 관리패널
• cPanel
• Plesk
• 클라우드 서버
• VPS

등에서 변경합니다.

호스팅을 이용 중이라면

국내외 웹호스팅을 사용 중이라면 먼저 호스팅 관리자 페이지를 확인합니다.

일반적으로

PHP 버전 설정
PHP 관리
서버 환경설정

같은 메뉴에서 현재 버전을 확인할 수 있습니다.

직접 변경이 불가능한 경우에는 호스팅 업체가 서버 전체에 보안 패치를 적용하는 구조일 수 있습니다.

공유호스팅은 내가 업데이트하지 못할 수도 있다

공유호스팅에서는 서버의 PHP를 사용자가 직접 업데이트하지 못하는 경우가 많습니다.

이 경우 가장 중요한 것은 호스팅 업체 공지입니다.

다음 내용을 확인하는 것이 좋습니다.

• PHP 긴급 패치 적용 여부
• 적용 완료 시간
• 내 계정의 PHP 버전
• 수동 조치 필요 여부

로이터도 공유서버 기반 소규모 웹사이트가 대응이 늦을 수 있어 특히 주의가 필요하다고 전했습니다.

자동 업데이트만 믿으면 안 되는 이유

로이터 보도에서는 일부 환경에서 자동 업데이트만으로 즉시 보호되지 않을 수 있어 수동 확인과 업데이트가 필요하다고 전했습니다.

즉

“호스팅이 알아서 했겠지”

라고 생각하기보다 실제 버전을 직접 확인하는 편이 안전합니다.

PHP를 업데이트하기 전에 백업해야 할까?

네.

PHP 보안패치는 긴급하지만, 버전을 크게 올릴 때는 워드프레스 플러그인이나 테마와 호환성 문제가 생길 수 있습니다.

따라서 가능하면 먼저

• 데이터베이스
• wp-content
• wp-config.php
• 업로드 파일

등을 백업하는 것이 좋습니다.

PHP 8.2에서 8.3으로 올릴 때 주의할 점

PHP 8.2 → 8.3처럼 메이저 버전을 올릴 때는 플러그인과 테마 호환성을 확인해야 합니다.

특히 오래된 플러그인이나 직접 작성한 PHP 코드가 있다면 오류가 발생할 수 있습니다.

따라서

백업 → 호환성 확인 → PHP 변경 → 사이트 점검

순서가 안전합니다.

가장 안전한 대응 순서

이번 취약점 대응은 다음 순서가 좋습니다.

1. 현재 PHP 버전 확인

워드프레스 사이트 건강 또는 호스팅 관리자에서 확인합니다.

2. 호스팅 보안공지 확인

긴급 보안패치가 적용됐는지 확인합니다.

3. 백업

사이트 파일과 데이터베이스를 백업합니다.

4. 패치 버전 적용

사용 중인 PHP 계열에 맞는 최신 버전으로 업데이트합니다.

5. 사이트 확인

메인페이지와 관리자 화면, 주요 기능을 확인합니다.

6. 로그 확인

비정상적인 접속이나 파일 변경 흔적이 없는지 확인합니다.

워드프레스 코어도 업데이트해야 할까?

이번 문제의 핵심은 PHP입니다.

따라서 워드프레스 코어 업데이트만으로 이번 PHP 취약점이 해결되지는 않습니다.

다만 보안 측면에서는

• WordPress 코어
• 플러그인
• 테마

도 최신 버전으로 유지하는 것이 좋습니다.

플러그인 업데이트만 하면 될까?

아닙니다.

이번 취약점은 플러그인이나 테마가 아니라 PHP 자체에서 발생한 문제입니다.

따라서 Wordfence 같은 보안 플러그인을 최신 버전으로 유지하는 것은 도움이 되지만, PHP 패치를 대신할 수는 없습니다.

PHP 공식 공지도 업데이트가 유일한 안전한 해결책이라고 명확히 설명합니다.

Cloudflare를 쓰면 안전할까?

Cloudflare와 Wordfence 등 일부 보안업체는 임시 방어규칙을 적용했습니다.

하지만 로이터는 이런 완화조치가 있어도 PHP 자체를 업데이트해야 장기적으로 안전하다고 전했습니다.

즉 WAF는 보조수단이지 패치의 대체수단은 아닙니다.

사이트가 정상이라면 괜찮은 걸까?

사이트가 정상적으로 열리는 것만으로 안전하다고 볼 수는 없습니다.

공격이 성공해도

• 화면 변화가 없거나
• 백도어만 설치되거나
• 관리자 계정이 추가되거나
• 서버 내부에 악성파일이 생성

될 수 있기 때문입니다.

따라서 취약버전을 사용했다면 업데이트 후 기본 보안점검도 하는 것이 좋습니다.

해킹 여부를 확인할 때 볼 항목

다음과 같은 변화가 있는지 확인합니다.

• 모르는 관리자 계정
• 최근 생성된 이상한 PHP 파일
• 알 수 없는 플러그인
• 사이트 리디렉션
• 광고·스팸 페이지 생성
• 서버 부하 급증
• 비정상 로그인 기록

이상이 있다면 호스팅 업체나 보안전문가에게 확인을 요청하는 것이 좋습니다.

wp-admin 비밀번호도 바꿔야 할까?

현재 침해 정황이 없다면 이번 PHP 취약점 때문에 모든 관리자가 무조건 비밀번호를 변경해야 한다고 단정할 필요는 없습니다.

다만

• 취약버전을 오래 사용했거나
• 비정상 접속 흔적이 있거나
• 관리자 계정 변화가 있거나
• 의심스러운 파일이 발견됐다면

비밀번호 변경과 세션 초기화를 함께 진행하는 것이 안전합니다.

2단계 인증도 같이 적용하면 좋다

이번 PHP 취약점은 로그인 비밀번호 문제와는 다른 유형입니다.

그래도 관리자 계정의 2단계 인증은 별도로 적용하는 것이 좋습니다.

서버 취약점이 해결된 뒤에도 관리자 계정 탈취는 계속 발생할 수 있기 때문입니다.

PHP 버전을 숨기면 해결될까?

아닙니다.

PHP 버전 정보를 외부에 노출하지 않는 것은 보안상 도움이 될 수 있지만, 실제 취약점 자체를 없애는 것은 아닙니다.

공격자는 버전정보가 없어도 취약점을 시도할 수 있습니다.

따라서 버전 숨기기보다 패치가 우선입니다.

PHP를 아예 꺼야 할까?

워드프레스는 PHP로 실행되기 때문에 PHP를 끄면 사이트가 정상 작동하지 않습니다.

정부기관이 일부 사이트를 중단한 이유도 패치 완료 전 공격 가능성을 줄이기 위한 예방적 조치였습니다.

일반 워드프레스 운영자라면 사이트를 무조건 내리기보다 먼저 호스팅사의 패치 적용 여부와 현재 PHP 버전을 확인하는 것이 좋습니다.

내가 직접 서버를 운영한다면

VPS나 클라우드 서버를 직접 관리한다면 패키지 관리자와 웹서버 구성을 확인해야 합니다.

특히

• PHP-FPM
• Apache mod_php
• LiteSpeed
• php-cgi

등 어떤 방식으로 PHP를 실행하는지 확인하는 것이 좋습니다.

PHP 측에서는 모든 웹 요청 처리 환경이 영향을 받을 수 있다고 안내하고 있습니다.

WordPress가 권장하는 PHP 버전은?

WordPress.org 공식 요구사항은 현재

PHP 8.3 이상

입니다.

따라서 이번 기회에 오래된 PHP 버전을 사용하고 있다면 단순 보안패치뿐 아니라 서버환경 자체를 점검하는 것이 좋습니다.

PHP 보안 취약점 핵심 정리

2026년 10월 21일 PHP 개발팀은

CVE-2026-109618
CVE-2026-109619

두 개의 중대한 원격 코드 실행 취약점을 수정한 긴급 보안버전을 배포했습니다.

수정 버전은

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

입니다.

PHP 개발팀은 완전한 우회책은 없으며 업데이트가 유일한 안전한 선택이라고 안내하고 있습니다.

워드프레스도 PHP 위에서 동작하기 때문에 사이트 운영자는

현재 PHP 버전 확인
→ 호스팅 패치공지 확인
→ 백업
→ PHP 보안버전 업데이트
→ 사이트 정상작동 확인
→ 보안로그 점검

순서로 대응하는 것이 좋습니다.

다만 이번 취약점이 발견됐다는 사실만으로 모든 워드프레스 사이트가 이미 침해됐다고 볼 수는 없습니다.

핵심은 현재 사용 중인 PHP 버전과 서버 구성을 확인하고, 취약버전이라면 가능한 한 빨리 패치하는 것입니다.

함께 보면 좋은 글

• 워드프레스 해킹 예방방법｜관리자가 꼭 확인할 보안설정
• 워드프레스 PHP 버전 확인하는 방법
• 워드프레스 PHP 업데이트 전 꼭 해야 할 백업
• 워드프레스 관리자 2단계 인증 설정방법
• AI 해킹 어디까지 가능할까? AI 에이전트로 100개 넘는 기업 사이트가 뚫린 이유

※ 이 글은 2026년 10월 22일 기준 PHP 공식 보안공지와 Reuters의 최신 보도를 바탕으로 작성했습니다.

※ PHP 버전 변경은 테마·플러그인 호환성 문제를 일으킬 수 있으므로 가능하면 백업 후 진행하는 것이 좋습니다.

※ 공유호스팅 사용자는 서버 패치를 직접 할 수 없는 경우가 있으므로 호스팅 업체의 긴급 보안공지와 실제 적용 버전을 반드시 확인하시기 바랍니다.