워드프레스·그누보드·영카트로 회사 홈페이지나 쇼핑몰을 운영한다면 서버의 PHP 보안 패치 적용 여부부터 확인하세요. PHP2Shell은 PHP 자체의 취약점이므로 홈페이지 프로그램을 최신으로 유지했더라도 별도 점검이 필요합니다.

화면이 정상적으로 열리거나 HTTPS를 사용한다는 사실만으로 안전을 판단할 수는 없습니다. 개발자가 아닌 홈페이지 운영자도 확인할 수 있도록 영향 버전과 업체에 요청할 내용을 정리했습니다.

1. PHP2Shell 취약점이란?

PHP2Shell은 PHP에서 발견된 CVE-2026-109618과 CVE-2026-109619를 묶어 부르는 이름입니다. 요청 처리에 사용하는 메모리를 관리하는 과정의 문제로, 조건에 따라 로그인하지 않은 공격자가 서버에서 코드를 실행할 수 있습니다. 공격에 성공하면 웹 서버의 권한 범위에서 데이터 접근이나 파일 변조로 이어질 수 있습니다. PHP 공식 권고 ①, 공식 권고 ②

PHP는 로그인, 게시판, 주문 같은 기능을 서버에서 실행하는 기반입니다. PHP-FPM, Apache의 mod_php 등 웹 요청을 처리하는 PHP 환경이 점검 대상이며, 서버 담당자가 실행 방식과 패치 상태를 확인해야 합니다. 출처: PHP 공식 보안 공지

홈페이지 프로그램이 최신이어도, 이를 실행하는 서버의 PHP에 필요한 보안 패치가 적용됐는지는 별도로 확인해야 합니다.

2. 워드프레스·그누보드·영카트도 점검해야 하나요?

PHP 기반 홈페이지라면 솔루션 이름보다 실제 서버 환경을 확인하세요. 이는 각 솔루션에서 별도 취약점이 발견되었다는 뜻이 아닙니다. 같은 프로그램을 사용하더라도 PHP 버전과 패치 상태는 다를 수 있습니다.

• 설치형 워드프레스·그누보드·영카트: 호스팅 업체에 PHP 패치 여부를, 유지보수 업체에 업데이트 호환성을 확인합니다.
• 직접 개발한 PHP 홈페이지: 서버 담당자에게 운영 서버와 서브도메인·관리자·테스트 서버까지 점검을 요청합니다.
• 임대형 쇼핑몰·관리형 서비스: 제공자의 영향 여부와 조치 공지를 확인하고, 고객이 해야 할 작업이 있는지 문의합니다.

국내 호스팅 업체를 이용하더라도 상품별 관리 범위가 다릅니다. “업체에서 알아서 했겠지”라고 판단하기보다 내 도메인이 연결된 서비스의 조치 결과를 확인하는 것이 중요합니다.

3. PHP 버전 확인과 보안 패치 기준

PHP 프로젝트는 2026년 10월 21일 두 취약점을 수정했습니다. 공식 PHP 배포본은 같은 계열에서 아래 수정 버전보다 낮으면 업데이트 대상입니다. 작업 시점의 최신 보안 업데이트도 확인하세요. 출처: 공식 수정 버전

호스팅 관리자에서 PHP 설정을 확인하거나, 워드프레스의 도구 → 사이트 건강 → 정보 → 서버에서 버전을 확인할 수 있습니다. “PHP 8.3”처럼 계열만 보이면 정확한 패치 버전을 문의하세요. 서버 담당자는 명령줄의 php -v와 실제 웹 서비스가 서로 다른 PHP를 사용할 수 있다는 점도 확인해야 합니다.

리눅스 배포판이나 장기 지원 업체는 기존 버전에 수정 사항을 반영하는 백포트를 제공할 수 있습니다. 이 경우 숫자만으로 판정하지 말고 공급업체 공지와 설치 패키지를 대조하세요. PHP 8.1 이하는 정규 지원이 종료되었으므로 별도 지원 여부와 지원 버전으로의 이전을 검토해야 합니다. 출처: PHP 업데이트 안내

4. 홈페이지 운영자가 진행할 대응 순서

• 담당자 확인: 서버 패치와 홈페이지 호환성 점검을 누가 맡는지 정합니다.
• 백업: 홈페이지 파일과 데이터베이스를 함께 백업하고 복구 절차를 확인합니다.
• 패치 적용: 수정 패키지를 설치하고 실행 중인 PHP 프로세스까지 재시작·교체되었는지 확인합니다.
• 기능 검증: 로그인, 문의 접수, 첨부파일, 주문·결제와 외부 연동을 확인합니다.
• 기록 보관: 적용 버전, 작업 시각, 담당자와 점검 결과를 남깁니다.

웹방화벽이나 접근 제한은 일부 공격 경로의 노출을 줄이는 임시 조치이며 패치를 대신하지 못합니다. 바로 업데이트하기 어렵다면 서버 담당자와 노출 제한 방법 및 패치 완료 일정을 함께 정하세요. 출처: PHP 임시 대응 안내

패치 후 추가 권고도 확인하세요. PHP는 10월 23일 특정 세션 설정과 코드 조합에서 발생하는 별도 문제(CVE-2026-115560)에 대해 session.upload_progress.enabled=0을 권고했습니다. 서버 담당자에게 해당 조건과 적용 여부를 확인하고, 변경 시 서버 시작 설정에 반영해 PHP 프로세스까지 재시작하도록 요청하세요. 이 설정은 두 취약점의 패치를 대신하지 못합니다. 출처: 세션 업로드 진행률 공지

5. 호스팅 업체에 보낼 점검 요청문

6. 자주 묻는 질문

취약한 버전을 썼다면 이미 해킹된 건가요?

취약점 노출만으로 침해를 확정할 수 없습니다. 모르는 관리자 계정, 파일 변경, 낯선 페이지나 외부 사이트 이동이 보이면 로그를 보존하고 조사를 요청하세요. 패치가 기존 피해까지 자동으로 복구해 주지는 않습니다.

PHP를 업데이트하면 구글 검색 순위도 올라가나요?

패치만으로 순위 상승을 기대할 수는 없습니다. 다만 보안 사고로 문의·결제가 중단되면 검색과 광고로 확보한 고객을 놓칠 수 있습니다. 해킹으로 기만성 콘텐츠가 삽입되었다면 Search Console의 보안 문제 보고서를 확인하고 조치 후 검토를 요청하세요. Google 공식 안내

관리 범위가 불분명하다면 홈페이지 유지보수 체크리스트로 운영 구조를 정리하세요. 점검과 업데이트 절차가 필요하면 지메이커 홈페이지 유지보수 상담에서 솔루션과 호스팅 정보를 전달해 상담할 수 있습니다.

정보 확인 기준: 2026-10-30. 작업 시점의 PHP 및 호스팅·운영체제 공급업체 공식 공지를 함께 확인하세요.