2026년 10월 21일, 전 세계 홈페이지 운영자들에게 긴급한 보안 경고가 전달됐습니다. 워드프레스와 인터넷쇼핑몰, 기업 웹서비스 등에 널리 사용되는 PHP에서 심각한 보안 취약점 두 건이 공개됐기 때문입니다.
이번 사건이 특히 우려되는 이유는 공격자가 관리자 아이디와 비밀번호를 몰라도 서버에서 명령을 실행할 수 있는 공격 방법이 확인됐다는 점입니다. 더욱이 오랫동안 발견되지 않았던 결함을 인공지능(AI)이 찾아내는 데 중요한 역할을 했다는 사실까지 알려지면서 사이버보안 업계의 관심이 집중되고 있습니다.
그렇다면 우리가 운영하는 홈페이지와 인터넷쇼핑몰은 안전할까요? 이미 방화벽과 SSL 보안인증서를 설치했다면 안심해도 되는 것일까요?
이번 PHP 보안 취약점의 발생 배경과 실제 위험, 긴급 점검 방법부터 향후 보안 환경의 변화까지 살펴보겠습니다.
지금 가장 먼저 해야 할 일은 PHP 버전 확인
이번 보안 취약점에 대응하기 위해 가장 먼저 해야 할 일은 자신의 홈페이지가 어떤 PHP 버전으로 운영되고 있는지 확인하는 것입니다.
워드프레스를 사용한다면 관리자 화면에서 비교적 간단하게 확인할 수 있습니다.
워드프레스 관리자 화면 → 도구 → 사이트 건강 → 정보 → 서버 → PHP 버전
여기에서 PHP 8.3.35와 같은 버전 번호를 확인할 수 있습니다.
2026년 10월 23일 기준으로 한국인터넷진흥원(KISA)이 안내한 보안 수정 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상입니다. PHP 8.1 이하 버전은 공식 보안 지원이 종료됐으므로 지원되는 버전으로 전환해야 합니다.
예를 들어 PHP 8.3.35를 사용하고 있다면 공식 수정 버전인 8.3.36보다 낮기 때문에 신속한 확인이 필요합니다.
다만 일부 호스팅 업체는 기존 버전 번호를 유지하면서 보안 수정 사항을 별도로 적용하기도 합니다. 따라서 화면에 표시된 버전만으로 최종적인 안전 여부를 단정하지 말고, 실제 패치 적용 상태를 호스팅 업체에 확인하는 것이 좋습니다.
워드프레스가 아닌 다른 홈페이지 제작 시스템을 이용한다면 호스팅 관리 화면에서 PHP 버전을 확인하거나 서버 관리 업체에 문의하면 됩니다.
PHP란 무엇이고, 이번 문제는 왜 발생했을까?
PHP는 홈페이지가 방문자의 요청을 처리하고 필요한 정보를 보여주도록 돕는 프로그래밍 언어입니다.
우리가 사용하는 워드프레스는 물론 다양한 인터넷쇼핑몰과 기업 웹서비스에서도 활용되고 있습니다. 회원이 로그인하거나 상품을 검색하고 주문 정보를 저장하는 과정에서도 PHP가 사용될 수 있습니다.
쉽게 설명하면 홈페이지가 건물이라면 PHP는 건물 내부의 시설을 움직이는 핵심 설비와 비슷합니다. 겉으로 보이는 홈페이지가 정상적으로 작동하더라도 내부 설비에 문제가 있다면 건물 전체의 안전에 영향을 줄 수 있습니다.
이번에 공개된 두 취약점은 PHP가 예외적인 상황을 처리하거나 메모리를 관리하는 과정에서 발생하는 결함과 관련되어 있습니다.
일반 운영자가 이러한 기술적 원리를 모두 이해할 필요는 없습니다. 중요한 것은 이번 문제가 특정 홈페이지의 잘못된 설정이나 개별 플러그인만의 문제가 아니라, 여러 웹서비스가 공통으로 사용하는 PHP 자체에서 발견됐다는 사실입니다.
10년 넘게 숨어 있던 결함, AI는 어떻게 발견했을까?
이번 사건에서 가장 주목할 부분은 취약점 발견 과정에 AI가 활용됐다는 점입니다.
보안 연구진은 AI를 활용해 복잡한 PHP 프로그램의 실행 과정과 오류 처리 방식을 분석했고, 기존의 보안 점검에서 발견하기 어려웠던 문제를 찾아내는 데 성과를 거뒀습니다.
일부 결함은 오랫동안 존재했지만 이를 실제 공격에 활용할 수 있다는 사실을 입증하기가 매우 어려웠습니다.
과거에는 보안 연구자들이 복잡한 프로그램을 분석하고 수많은 조건을 반복해서 시험해야 했습니다. 그러나 AI가 이러한 분석과 검증을 지원하면서 취약점을 발견하는 데 필요한 시간과 노력을 줄일 수 있게 된 것입니다.
이후 관련 연구진과 PHP 개발진이 협력해 수정 작업을 진행했고, 10월 21일 보안 업데이트가 공개됐습니다.
이번 사건은 AI가 단순히 글을 작성하거나 정보를 검색하는 수준을 넘어 복잡한 프로그램 내부의 결함을 찾아내고 보안 문제를 해결하는 데 기여할 수 있음을 보여줍니다.
그러나 같은 기술이 공격자에게도 활용될 수 있다는 점에서 새로운 우려가 제기되고 있습니다.
로그인하지 않아도 해킹할 수 있다는 말은 사실일까?
이번 취약점은 ‘PHP2Shell’이라는 이름으로 알려졌으며, 공식 식별번호는 CVE-2026-109618과 CVE-2026-109619입니다. 두 취약점의 위험도는 CVSS 4.0 기준 10점 만점에 9.2점으로 평가됐습니다.
보안 연구진은 취약한 서버에서 관리자 계정으로 로그인하지 않고도 서버 명령을 실행할 수 있다는 사실을 입증했습니다.
일반적으로 홈페이지 해킹이라고 하면 관리자 비밀번호를 알아내거나 보안이 취약한 플러그인을 공격하는 방식을 떠올리기 쉽습니다.
그러나 이번 문제는 홈페이지를 작동시키는 PHP 자체에서 발견됐습니다. 따라서 관리자 비밀번호를 철저하게 관리하고 플러그인을 최신 상태로 유지하더라도 PHP 자체가 취약하다면 별도의 위험이 남아 있을 수 있습니다.
물론 과거에도 로그인 없이 악용할 수 있는 취약점은 존재했습니다. 이번 사건에서 주목해야 할 부분은 개별 홈페이지 프로그램을 넘어 PHP 실행 환경 자체가 공격 대상이 될 수 있다는 점입니다.
다만 PHP를 사용하는 모든 홈페이지가 동일한 조건에서 공격당한다는 뜻은 아닙니다. 실제 공격 가능성과 피해 범위는 PHP 버전, 서버 구성, 접근 권한, 보안 설정 등에 따라 달라집니다.
실제 해킹이 발생하면 어떤 피해로 이어질까?
이번 취약점이 악용될 경우 예상되는 피해는 단순한 홈페이지 접속 장애를 넘어설 수 있습니다.
첫째, 홈페이지와 프로그램 파일이 변조될 수 있습니다.
공격자가 서버의 파일을 수정할 권한을 확보하면 홈페이지 내용을 바꾸거나 악성코드를 삽입할 수 있습니다. 워드프레스의 테마와 플러그인 파일도 서버 권한에 따라 변조 대상이 될 수 있습니다.
다만 이번 취약점이 테마나 플러그인 자체에서 발생했다는 의미는 아닙니다. PHP의 결함을 이용해 서버에 침입한 이후 발생할 수 있는 추가 피해를 말합니다.
둘째, 고객정보와 중요한 인증정보가 노출될 수 있습니다.
인터넷쇼핑몰은 회원정보와 주문 내역을 관리하고, 기업 홈페이지는 업무용 데이터베이스와 연결되는 경우가 있습니다.
공격자가 서버 내부에 접근하면 이러한 정보가 노출될 위험이 있습니다. 서버 메모리나 설정 파일에 남아 있는 비밀번호와 인증정보도 공격 대상이 될 수 있습니다.
셋째, 악성코드 설치와 추가 공격으로 이어질 수 있습니다.
서버에 원격조종용 파일인 웹셸이나 악성 프로그램이 설치되면 공격자가 이후에도 서버에 접근하거나 다른 공격을 시도할 가능성이 있습니다.
넷째, 인터넷쇼핑몰 운영이 중단될 수 있습니다.
서버 오류나 서비스 장애가 발생하면 고객이 상품을 조회하거나 주문하지 못할 수 있습니다. 인터넷쇼핑몰에서는 이러한 장애가 매출 손실뿐 아니라 고객 신뢰에도 영향을 줄 수 있습니다.
다섯째, 기업 내부 시스템으로 피해가 확대될 수 있습니다.
홈페이지 서버와 내부 업무 시스템이 연결되어 있고 접근 권한이 충분히 분리되지 않았다면 추가 침입으로 이어질 가능성이 있습니다.
이러한 내용은 공격에 성공했을 때 발생할 수 있는 위험입니다. 모든 홈페이지에서 실제로 이 같은 피해가 발생했다는 의미는 아닙니다.
방화벽과 SSL 보안인증서만으로 해결할 수 있을까?
홈페이지나 인터넷쇼핑몰을 운영하면서 Wordfence와 같은 보안 플러그인, Cloudflare 등의 웹 방화벽(WAF), SSL 보안인증서(HTTPS)를 설치했다면 어느 정도 안심하기 쉽습니다.
그러나 이번 PHP2Shell 취약점은 이러한 보안 장치만으로 해결할 수 없습니다.
웹 방화벽은 외부의 의심스러운 접근을 차단하고, 보안 플러그인은 악성코드 검사와 로그인 보호 등에 도움을 줍니다. SSL 보안인증서는 홈페이지와 방문자 사이의 통신을 암호화하는 역할을 합니다.
하지만 이러한 장치들은 PHP 프로그램 내부에 존재하는 결함 자체를 수정하지는 못합니다.
쉽게 말해 방화벽이 건물의 출입구를 지키는 경비 시스템이라면, 이번 문제는 건물 내부의 핵심 설비에서 발견된 결함과 같습니다. 출입구를 철저하게 관리하더라도 고장 난 설비를 수리하지 않으면 근본적인 위험은 남아 있습니다.
따라서 방화벽과 보안 플러그인, SSL 인증서가 모두 설치되어 있더라도 PHP 보안 패치가 적용되지 않았다면 이번 취약점이 해결됐다고 볼 수 없습니다.
기존 보안 장치는 그대로 유지하되, PHP 보안 업데이트를 통해 근본적인 결함을 수정하는 것이 중요합니다.
공격 시도는 이미 시작됐다, 실제 피해 규모는?
아마존의 보안 연구팀은 이번 취약점이 공식 공개되기 전인 10월 17일부터 관련 공격 시도를 관측했다고 밝혔습니다.
이는 보안 업데이트가 공개되기 전부터 일부 공격자가 취약점을 악용하려고 시도했을 가능성을 보여줍니다.
다만 공격 시도가 확인됐다는 사실과 실제 운영 중인 홈페이지에서 대규모 피해가 발생했다는 것은 구분해야 합니다.
2026년 10월 23일 현재 공개된 자료만으로 전 세계 피해 규모를 확정하기는 어렵습니다.
그럼에도 보안기관들이 긴급 업데이트를 권고하는 이유는 취약점의 심각성이 높고 공격 방법이 빠르게 확산될 수 있기 때문입니다.
특히 공식 공개 이전부터 공격 시도가 있었다는 사실은 업데이트뿐 아니라 과거 서버 기록을 확인하는 일도 중요하다는 점을 보여줍니다.
보안 업데이트가 완료됐다면 이제 안전할까?
PHP를 보안 수정 버전으로 업데이트했다면 가장 중요한 조치를 마친 것입니다. 그러나 여기에서 점검을 끝내서는 안 됩니다.
먼저 새로운 PHP 버전이 실제 홈페이지에 적용됐는지 확인해야 합니다. 서버에 새 버전이 설치됐더라도 웹서비스에 이전 버전이 남아 있을 수 있기 때문입니다.
홈페이지가 정상적으로 열리는지, 관리자 로그인과 글 작성 기능이 작동하는지도 확인해야 합니다. 인터넷쇼핑몰이라면 상품 조회와 회원 로그인, 장바구니, 주문·결제 기능까지 점검하는 것이 좋습니다.
또한 업데이트 이전에 공격이 있었을 가능성을 고려해 서버 접속 기록과 파일 변경 내역을 살펴볼 필요가 있습니다.
보안 업데이트는 취약점을 해결하는 중요한 조치이지만, 이미 발생한 침입이나 악성 파일까지 자동으로 제거해 주는 것은 아니기 때문입니다.
아직 업데이트되지 않았다면 어떻게 해야 할까?
현재 PHP 버전이 공식 수정 버전보다 낮다면 호스팅 업체에 긴급히 패치 적용 여부를 확인해야 합니다.
개인 홈페이지나 소규모 인터넷쇼핑몰은 서버를 직접 관리하지 않고 호스팅 서비스를 이용하는 경우가 많습니다. 이런 상황에서는 운영자가 직접 PHP 설정을 변경하기보다 서버 관리 업체에 업데이트를 요청하는 것이 안전합니다.
업데이트가 지연된다면 최신 웹 방화벽 규칙, 임시 접근 제한 등 위험을 줄일 수 있는 조치가 있는지도 문의해야 합니다.
그러나 이러한 임시 조치는 근본적인 해결책이 아닙니다. PHP 개발팀은 이번 취약점에 대해 완전한 임시 완화책은 없으며 보안 업데이트가 안전한 해결책이라고 강조하고 있습니다.
특히 PHP 버전을 변경하는 과정에서는 홈페이지와 플러그인의 호환성 문제가 발생할 수 있으므로 백업과 사전 점검을 거쳐 진행해야 합니다.
인터넷쇼핑몰처럼 서비스 중단에 따른 피해가 큰 경우에는 호스팅 업체 또는 개발업체와 함께 업데이트 일정과 점검 방법을 결정하는 것이 좋겠습니다.
호스팅 업체에는 무엇을 문의해야 할까?
PHP 보안 취약점에 대한 기술적인 내용을 모두 이해하지 못하더라도 필요한 질문은 충분히 할 수 있습니다.
가장 중요한 것은 현재 서버에 보안 패치가 적용됐는지, 아직 적용되지 않았다면 언제 조치할 예정인지 확인하는 것입니다.
호스팅 업체가 패치 적용을 확인해 준다면 실제 운영 서버에 적용된 상태인지 확인하고, 홈페이지의 정상 작동 여부를 점검하면 됩니다.
반대로 아직 패치가 적용되지 않았다면 적용 예정 시점과 임시 보호 조치를 문의해야 합니다.
버전 번호가 낮더라도 업체가 별도 보안 수정 사항을 적용했다고 설명한다면 이번 두 취약점이 모두 해결됐는지 구체적으로 확인하는 것이 좋습니다.
실제 홈페이지 운영자는 어떻게 대응했을까?
Mr.Lee’s Daylogue 역시 이번 보안 경고를 확인한 뒤 워드프레스 관리자 화면에서 PHP 버전을 점검했습니다.
확인 당시 사용 중인 버전은 PHP 8.3.35였습니다.
공식 수정 버전인 8.3.36보다 낮았기 때문에 호스팅 업체인 ChemiCloud에 보안 패치 적용 여부와 업데이트 가능성, 기존 보안 설정 유지 여부를 문의했습니다.
이는 홈페이지에서 해킹 사고가 발생했다는 의미가 아닙니다. 보안 취약점이 공개된 상황에서 운영자가 실제 적용 상태를 확인하고 필요한 조치를 요청한 사례입니다.
호스팅 업체의 답변을 통해 패치 적용 여부를 확인한 뒤 추가 대응을 결정할 예정입니다.
개인 홈페이지 운영자라면 이와 같은 방법으로 현재 상태를 확인하고 기술적인 조치는 서버 관리 업체에 요청할 수 있습니다.
홈페이지 운영자를 위한 긴급 보안 점검 체크리스트
홈페이지 보안은 전문가만의 문제가 아닙니다. 서버를 직접 관리하지 않는 운영자도 기본적인 점검 항목을 알고 있다면 위험을 발견했을 때 보다 신속하게 대응할 수 있습니다.
다음 열 가지 항목을 하나씩 확인해 보시기 바랍니다.
이 항목을 모두 확인했다고 해서 모든 사이버 공격으로부터 완전히 안전해지는 것은 아닙니다. 그러나 이번 취약점에 대응하기 위한 기본적인 점검과 관리 체계를 갖추는 데 도움이 됩니다.
인터넷쇼핑몰과 기업 홈페이지는 무엇을 더 준비해야 할까?
인터넷쇼핑몰이나 기업 홈페이지는 개인 블로그보다 점검해야 할 범위가 넓습니다.
인터넷쇼핑몰에서는 회원정보와 주문 데이터, 결제 시스템과의 연결 상태를 확인해야 합니다. 고객정보가 저장된 데이터베이스에 불필요하게 넓은 접근 권한이 부여되어 있지는 않은지도 점검할 필요가 있습니다.
기업에서는 현재 운영 중인 홈페이지뿐 아니라 오래전에 제작한 사이트, 이벤트용 페이지, 테스트 서버, 외주 개발업체가 관리하는 시스템까지 확인해야 합니다.
특히 사용하지 않는 오래된 시스템은 관리 대상에서 빠지기 쉬우므로 별도의 점검이 필요합니다.
서버가 침해된 정황이 발견된다면 단순히 PHP를 업데이트하는 것으로 끝내서는 안 됩니다. 관련 기록을 보존하고 전문가를 통해 침입 경로와 피해 범위를 조사해야 합니다.
개인정보 유출이 확인되거나 의심되는 경우에는 관련 법령에 따른 신고·통지 의무도 검토해야 합니다.
AI가 찾아내는 보안 취약점, 앞으로 더 늘어날까?
이번 사건은 AI 기술이 사이버보안 환경을 어떻게 바꾸고 있는지 보여줍니다.
과거에는 오랜 시간과 높은 전문성이 필요했던 프로그램 분석을 AI가 지원하면서 복잡한 취약점을 발견하는 속도가 빨라지고 있습니다.
이는 보안 연구자에게 긍정적인 변화입니다. 공격자가 악용하기 전에 문제를 찾아 수정할 기회가 늘어나기 때문입니다.
그러나 같은 기술이 공격자에게도 활용될 수 있다는 점에서 우려가 존재합니다.
앞으로 다른 프로그램에서도 오랫동안 발견되지 않았던 취약점이 추가로 드러날 가능성이 있습니다. 다만 이러한 변화가 곧 모든 홈페이지에서 대규모 해킹 사고가 발생한다는 의미는 아닙니다.
중요한 것은 새로운 취약점이 공개됐을 때 얼마나 신속하게 확인하고 대응할 수 있는 체계를 갖추느냐입니다.
개인 홈페이지 운영자는 호스팅 업체의 보안 공지를 정기적으로 확인하고, 서버와 워드프레스의 업데이트 상태를 점검하는 습관이 필요합니다.
인터넷쇼핑몰과 기업은 여기에 더해 보안 담당자 지정, 서버 목록 관리, 정기 백업과 복구 테스트, 사고 발생 시 대응 절차까지 준비하는 것이 좋겠습니다.
우리는 어떻게 준비해야 할까?
홈페이지나 인터넷쇼핑몰을 운영한다고 해서 누구나 IT 전문가가 될 필요는 없습니다.
그러나 자신이 사용하는 서버의 PHP 버전이 무엇인지, 보안 업데이트는 누가 담당하는지, 문제가 발생했을 때 어디에 연락해야 하는지 정도는 알고 있어야 합니다.
이번 PHP 보안 취약점은 우리에게 중요한 사실을 일깨워 줍니다.
홈페이지가 정상적으로 열리고 있다는 사실만으로 서버의 안전까지 보장되는 것은 아닙니다.
AI가 오랫동안 숨어 있던 결함을 찾아낸 지금, 홈페이지 보안은 사고가 발생한 뒤 복구하는 차원을 넘어 위험을 미리 확인하고 신속하게 대응하는 관리의 영역으로 바뀌고 있습니다.
이번 보안 경고를 계기로 자신이 운영하는 홈페이지의 PHP 버전부터 확인해 보시기 바랍니다. 아직 보안 패치 적용 여부를 확인하지 못했다면 호스팅 업체에 문의하는 것이 가장 현실적인 첫걸음입니다.
막연한 불안감보다 중요한 것은 정확한 확인과 신속한 조치입니다.
참고자료 및 공식 보안 안내
- 한국인터넷진흥원(KISA) — PHP 제품 보안 업데이트 권고
PHP 취약점의 공식 식별번호와 영향을 받는 버전, 보안 수정 버전 안내 - 한국인터넷진흥원(KISA) — PHP2Shell 기업 보안 대응 수칙
홈페이지 및 기업 서버 운영자를 위한 보안 점검과 대응 지침 - PHP 공식 개발팀 — 2026년 10월 보안 업데이트
PHP 보안 수정 버전과 공식 업데이트 내용 - OpenAI — AI를 활용한 PHP 취약점 발견과 공동 대응
AI를 활용한 취약점 발견 과정과 보안 연구진의 협력 내용 - Wiz Research — PHP2Shell 취약점 분석
로그인 없는 서버 명령 실행 위험과 기술적 분석 - AWS — PHP2Shell 공개 이전 공격 시도 관측
공식 공개 이전 관측된 공격 시도와 보안 대응 내용
※ 본문은 2026년 10월 23일 기준 공개된 자료를 바탕으로 작성했으며, 이후 보안 업데이트 및 피해 상황은 달라질 수 있습니다.