PHP 치명적 취약점 공지, PHP 7 홈페이지는 패치조차 받지 못합니다

10월 21일, PHP 공식 사이트에 올라온 “지금 업데이트하라”는 공지

2026년 10월 21일, PHP 공식 사이트(php.net)에 치명적인 원격 코드 실행 취약점 2건에 대한 보안 공지가 올라왔습니다. 위험도 점수(CVSS 4.0)는 10점 만점에 9.2점. 로그인하지 않은 요청 하나로 서버에서 명령이 실행될 수 있고, Apache mod_php 환경에서는 홈페이지 프로그램이 돌기도 전에 공격이 시작되는 사례까지 확인됐다는 내용입니다.

• 대상 — 웹 요청을 처리하는 모든 PHP 설치(PHP-FPM, Apache mod_php, php-cgi, LiteSpeed 등). 웹호스팅에 올라간 일반 홈페이지가 모두 여기에 해당합니다.
• 취약점 번호 — CVE-2026-109618, CVE-2026-109619
• 수정된 버전 — PHP 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35

PHP 개발팀은 업데이트 말고 다른 방법은 공격 경로를 줄여 줄 뿐, 서버를 안전하게 만들지는 못한다고 밝혔습니다.

PHP 7 홈페이지는 이 패치를 받지 못합니다

수정 버전 목록에 PHP 7.4 · 8.0 · 8.1은 없습니다. 공지에서도 PHP 8.1 이하는 PHP 프로젝트의 업데이트를 더 이상 받지 않는다고 분명히 했습니다. 소스를 직접 컴파일하는 서버 관리자를 위한 최소한의 수정 코드가 따로 공개되긴 했지만, 웹호스팅을 빌려 쓰는 일반 홈페이지가 바로 적용할 수 있는 업데이트는 아닙니다.

결국 PHP 7 홈페이지의 선택지는 두 가지입니다. 호스팅사가 자체적으로 수정본을 적용해 주기를 기다리거나, 지원되는 PHP 8 버전으로 옮기는 것. 앞의 것은 우리가 확인하기도, 통제하기도 어렵습니다.

아직 PHP 7을 쓰는 사이트는 얼마나 될까

웹 기술 통계 사이트 W3Techs의 2026년 10월 22일 집계를 보면, PHP를 쓰는 웹사이트 가운데 PHP 7이 26.9%, PHP 5가 7.7%입니다. 셋 중 하나 이상이 공식 보안 지원이 끝난 버전에서 돌아가고 있다는 뜻입니다. PHP 8 안에서도 8.0과 8.1은 이미 지원이 끝났습니다.

하나 더 봐야 할 것이 있습니다. PHP 8.2도 올해 12월 31일에 지원이 끝납니다. 지금 PHP 8로 옮긴다면 목표는 8.3 이상, 가능하면 8.4가 맞습니다.

진단 데이터 66건으로 본 실제 홈페이지

2026년 9월 지오디웹스 PHP8 전환 진단에 들어온 홈페이지 가운데, 중복과 포털 · SNS 주소를 뺀 66개 사이트를 다시 분석했습니다. 비율은 접속이 안 된 1곳과 임대형 1곳을 뺀 64곳 기준입니다.

숫자가 말해 주는 것은 하나입니다. 대부분의 사이트는 자기가 위험한지조차 겉으로는 알 수 없습니다. 그래서 버전 확인과 기능 점검이 먼저입니다.

홈페이지 PHP 오류, 이런 증상이 보이면

• 호스팅사가 PHP 버전을 올린 뒤 흰 화면만 뜬다
• 화면 위쪽에 Deprecated, Warning, Fatal error 같은 영어 문구가 찍힌다
• 게시판 목록은 보이는데 글쓰기 · 첨부파일이 안 된다
• 관리자 로그인이 되지 않거나, 문의 메일이 오지 않는다
• 결제창 · 본인인증 창이 뜨지 않는다

대부분 PHP 8에서 사라진 함수나 엄격해진 문법 때문입니다. 그누보드 사이트라면 그누보드 홈페이지, PHP 8로 올리기 전에 확인할 것에 자주 걸리는 부분을 정리해 두었습니다.

PHP8 업그레이드 비용은 얼마나 드나

비용은 페이지 수보다 사이트 안에 어떤 기능이 들어 있느냐로 정해집니다. 지오디웹스의 PHP8 전환 금액 구간은 이렇습니다. 구간 안에서는 진단에서 실제로 센 게시판 · 직접 고친 스킨 · PHP 페이지 수와 제작 시기에 따라 사이트마다 금액이 달라집니다.

진단 데이터 66건을 이 기준으로 계산하면 회원형이 72%로 가장 많았고, 예상 금액 하한의 중간값은 약 210만 원이었습니다. 이 금액은 확인된 기능을 모두 옮기는 기준입니다. 무료 정밀점검에서 실제로 쓰는 기능만 고르면 낮아질 수 있고, 회원형은 필수 항목만 옮길 때 대개 160만 원대부터 시작합니다. 최종 금액은 소스와 DB를 확인한 뒤 정해집니다.

PHP8 전환 견적, 업체를 고를 때 확인할 다섯 가지

1. 목표 버전이 8.3 이상인가 — 8.2로 옮기는 견적이라면 두 달 뒤 같은 일을 또 해야 합니다.
2. 지금 사이트를 살려 둔 채 작업하는가 — 전체 백업 후 별도 환경에서 고치고, 검수가 끝나면 바꿔 끼우는 방식이어야 영업이 멈추지 않습니다.
3. 점검 목록을 주는가 — 글쓰기 · 회원가입 · 문의폼 · 결제를 기능별로 확인한 기록이 남아야 합니다.
4. 결제 · 인증 · 문자 모듈이 견적에 들어 있는가 — 가장 먼저 문제를 일으키면서도 견적에서 빠지기 쉬운 항목입니다.
5. 전환 뒤 오류를 지켜봐 주는가 — 눈에 안 띄는 오류는 며칠 뒤에 드러납니다. 하자보수 기간을 확인하세요.

하나 더. 비용이 든다는 이유만으로 무조건 새로 만들자는 제안은 한 번 더 따져 보세요. 디자인과 모바일 화면이 쓸 만하다면 전환만으로 충분한 경우가 많습니다.

오늘 바로 할 수 있는 일

• 호스팅사에 두 가지를 물어보세요. 우리 사이트의 현재 PHP 버전, 그리고 10월 21일 보안 공지에 대한 조치 여부.
• 서버를 직접 관리한다면 공지에 나온 임시 완화 설정(session.upload_progress.enabled = 0 등)을 적용하고 업데이트 일정을 잡으세요. 공식 공지도 이 설정만으로는 안전하지 않다고 밝히고 있습니다.
• 전환이 필요한지, 얼마나 드는지 확인하세요. 아래 무료 진단이 가장 빠릅니다.

주소만 넣으면 10초, 우리 홈페이지 위험도와 예상 비용

지오디웹스 PHP8 무료 진단은 홈페이지 주소만으로 제작 방식(그누보드 · 자체 개발 등), 전환 위험도, 예상 작업 범위와 비용을 알려 드립니다. 서버 접속 정보도, 설치도 필요 없습니다. 결과를 보고 상담을 신청하시면 실제 소스와 DB까지 무료로 정밀점검한 뒤 확정 견적을 드립니다.

PHP8 무료 진단 받기  ·  PHP8 전환 견적 상담 신청

PHP 7 지원 종료가 왜 문제인지부터 보시려면 PHP 7 지원 종료, 우리 홈페이지는 괜찮을까를 먼저 읽어 보세요.

이 글은 2026년 10월 22일 기준 PHP 공식 자료, W3Techs 통계, 지오디웹스 진단 데이터로 작성했습니다.