PHP 보안 취약점, 지금 내 홈페이지는 안전할까요

2026년 10월, 전 세계 웹사이트 대부분이 사용하는 PHP에서 치명적인 보안 취약점 2건이 공개됐습니다.
보안 업계는 이번 건을 ‘PHP2Shell’이라고 부르고 있습니다.
뉴스를 보시고 “우리 홈페이지도 위험한 건가?” 하고 걱정하셨다면, 이 글을 끝까지 읽어보시기 바랍니다.

PHP가 무엇이길래 이렇게 큰 일인가요?

PHP는 홈페이지가 돌아가게 만드는 언어입니다.
방문자가 문의 폼을 제출하거나, 게시판 글을 읽거나, 로그인을 할 때 서버에서 그 요청을 처리하는 게 바로 PHP입니다.
워드프레스, 그누보드, 대부분의 국내 홈페이지 빌더가 PHP로 돌아갑니다. 사실상 한국 홈페이지의 기본기라고 보셔도 무방합니다.

그런데 이번에 발견된 취약점은 성격이 좀 다릅니다.
보통의 보안 문제는 “관리자 비밀번호가 유출되면” 같은 전제가 붙습니다. 이번은 그런 전제가 없습니다.

로그인하지 않은 외부인이, 서버에 원하는 명령을 직접 실행할 수 있습니다.
아이디도, 비밀번호도, 특별한 권한도 필요 없습니다. 서버가 인터넷에 열려 있다는 사실 하나면 충분합니다.

집 현관문의 잠금장치가 고장 난 것과 비슷합니다. 열쇠를 훔치는 게 아니라, 문이 그냥 열리는 상황입니다.

보안을 미루기 어려워진 이유

예전에는 취약점이 알려져도 실제 공격으로 이어지기까지 시간이 걸렸습니다. 공격 방법을 연구해야 했기 때문입니다.
지금은 다릅니다. 이번 건도 취약점이 공개된 직후 공격 도구가 인터넷에 돌기 시작했고, 실제 공격 시도가 관측되고 있습니다.

이 도구들은 사람이 일일이 조작하지 않습니다. 자동으로 수십만 개의 서버를 두드려보며 열리는 곳을 찾습니다. 규모가 작은 사이트라고 비켜가지 않습니다. 오히려 관리가 느슨한 중소 사이트가 먼저 뚫립니다.

한 번 뚫리면 도미노처럼 번집니다. 고객 문의 내역과 회원 정보가 빠져나가고, 서버가 불법 페이지 유포지나 다른 공격의 경유지로 쓰입니다. 검색엔진이 위험 사이트로 분류하면 그동안 쌓아온 검색 노출이 한꺼번에 사라지고, 회복에는 몇 달이 걸립니다.

개인정보가 유출된 경우에는 개인정보 보호법에 따라 정보주체에게 알리고 관계 기관에 신고해야 하며, 안전조치 의무를 다하지 않았다면 책임을 질 수 있습니다. 보안이 이제 기술팀만의 일이 아니라 경영의 문제가 된 이유입니다.

그에 비하면 버전을 올려두는 일은 생각보다 간단합니다. 사고가 난 뒤에 수습하는 비용과는 비교가 되지 않습니다.

내 홈페이지는 어느 쪽인가요?

PHP 개발팀은 10월 20일 보안 패치를 배포했습니다. 다만 모든 버전이 패치를 받은 것은 아닙니다.
지금 쓰시는 버전이 어느 칸에 속하는지 먼저 확인해 보세요.

버전을 어떻게 확인하는지 모르시겠다면 오픈컴 고객센터 1544-4256(내선 202번)으로 문의해 주세요. 사이트 주소만 알려주시면 확인해 안내해 드립니다.

PHP 5점대를 쓰고 계시다면, 지금이 마지막 기회입니다

이 글에서 딱 하나만 기억하셔야 한다면 이겁니다.
PHP 5점대에는 이번 취약점의 공식 수정본이 없습니다. 앞으로도 나오지 않습니다.

제조사 지원이 끝난 버전이기 때문입니다. 문제가 있다는 것은 알려졌는데 고쳐줄 곳은 없는 상태입니다.
더 우려스러운 건 공개된 공격 도구가 PHP 5.4 버전까지 작동한다고 밝히고 있다는 점입니다. 오래된 버전이라서 공격자가 관심 없을 거라는 기대는 통하지 않습니다.

오히려 반대입니다. 패치가 나온 최신 버전은 시간이 지나면 닫힙니다. 수정본이 없는 5점대는 그냥 열려 있습니다. 공격자 입장에선 가장 먼저 찾을 대상입니다.

설정을 조정해 위험을 줄이는 방법이 알려져 있긴 합니다. 다만 PHP 측과 해외 보안 기관들은 이를 임시방편일 뿐 완전한 해결책이 아니라고 명확히 선을 그었습니다.
제대로 막는 방법은 버전을 올리는 것 하나뿐입니다.

PHP 5점대로 운영 중이시라면 오픈컴 고객센터로 문의해 주세요. 현재 사이트를 확인하고 어느 버전으로 올리는 게 맞는지, 작업 범위는 어느 정도인지 먼저 알려드리겠습니다.

“버전 올리면 사이트가 깨지지 않나요?”

가장 많이 받는 질문이고, 솔직히 말씀드리면 그럴 가능성이 있습니다.
PHP 버전이 올라가면 예전 문법이 더 이상 동작하지 않거나, 오래된 플러그인·모듈이 호환되지 않을 수 있습니다. 문의 폼이 안 넘어가거나 게시판이 빈 화면으로 뜨는 식입니다.

그래서 호스팅 관리페이지에서 버전 숫자만 바꾸는 방식은 권해드리지 않습니다. 운영 중인 사이트에서 바로 바꾸면 그 순간 장애가 나고, 되돌리는 데 더 긴 시간이 들어갑니다.

오픈컴은 운영 중인 사이트를 건드리지 않고 별도 공간에서 먼저 올리고 검증한 다음 전환하는 방식으로 진행합니다.

• 1단계 · 데이터 사전 백업 — 홈페이지 파일과 DB를 먼저 복사해 둡니다. 무슨 일이 생겨도 되돌릴 수 있는 기준점을 만드는 단계입니다.
• 2단계 · 신규 호스팅 세팅 — 최신 PHP 버전 기반의 공간을 따로 준비합니다. 기존 사이트는 그대로 서비스됩니다.
• 3단계 · 업로드 및 호환 작업 — 백업본을 올리고, 새 버전에서 안 돌아가는 코드를 찾아 고칩니다.
• 4단계 · 동작 검증 — 메인 페이지, 로그인, 게시판 작성, 문의 폼 등 주요 기능을 직접 눌러보며 확인합니다.

백업은 고객센터 1:1 요청으로 도와드립니다. 버전 변경 전에 반드시 백업을 먼저 남겨두시기 바랍니다.

어느 업체에서 만든 사이트든 물어보세요

오픈컴은 취약점이 공개된 직후, 공식 보안 패치가 제공되는 PHP 버전에 대해 순차적으로 패치를 적용했습니다. 서버관리서비스를 이용 중인 고객사는 별도로 연락 주시지 않아도 당사에서 챙기고 있습니다.

이용 중인 서비스에 따라 조치 범위가 달라집니다. 개별 안내는 고객센터에서 확인해 드리고 있으니, 내 계정이 어느 경우에 해당하는지 궁금하시면 부담 없이 연락 주세요.

오픈컴 고객이 아니셔도 문의하실 수 있습니다.
다른 업체에서 제작한 사이트, 다른 곳에서 호스팅 중인 사이트도 괜찮습니다. 제작사와 연락이 닿지 않거나 담당자가 바뀌어 사정을 아는 사람이 없는 경우도 자주 있습니다.

오픈컴은 1998년부터 홈페이지 제작과 호스팅을 함께 운영해 왔습니다. 제작과 서버를 한쪽만 다루는 곳에서는 “서버 문제니 호스팅에 문의하세요”, “코드 문제니 제작사에 문의하세요”로 공이 넘어가기 쉬운 작업입니다. PHP 버전 업그레이드는 그 둘이 같이 얽혀 있는 일입니다.

호스팅 세팅부터 코드 호환 작업, 동작 검증까지 한 창구에서 처리해 드립니다. 다른 업체에서 만든 사이트도 괜찮습니다.

내 사이트가 어느 정도 작업이 필요한지 먼저 확인해 보세요.
사이트 주소와 호스팅 환경만 알려주시면 현재 PHP 버전, 예상되는 호환 문제, 작업 범위를 정리해 안내해 드립니다.
고객센터 1544-4256 또는 온라인 문의로 연락 주세요. (PHP 업그레이드 개발은 별도 견적으로 안내해 드립니다.)

자주 물어보시는 질문

우리 사이트는 작아서 공격 대상이 아닐 것 같은데요

이번 공격은 특정 회사를 골라서 노리는 방식이 아닙니다. 자동화 도구로 인터넷 전체를 훑어 취약한 서버를 찾아냅니다. 사이트 규모나 방문자 수와는 관계가 없습니다.

홈페이지에 중요한 정보가 없는데도 문제가 되나요

네, 문제가 됩니다. 공격자가 노리는 건 홈페이지에 담긴 내용이 아니라 서버라는 자원 그 자체입니다. 비어 있는 소개 사이트라도 장악하면 따로 쓸모가 있기 때문에, 안 쓰는 사이트일수록 오래 방치되어 오히려 표적이 됩니다.

업그레이드에 얼마나 걸리나요

사이트 규모와 기존 코드 상태에 따라 크게 달라집니다. 정적 페이지 위주의 소개 사이트와 결제·회원 기능이 얽힌 사이트는 작업량이 다릅니다. 정확한 일정은 사이트를 확인한 뒤 견적과 함께 안내해 드립니다.

당장 예산이 없습니다. 시급한가요

PHP 7.4 이상이면 당장 급하지는 않습니다. 다만 PHP 5점대라면 이야기가 다릅니다. 수정본 자체가 없어 시간이 지나도 안전해지지 않습니다. 예산 편성이 어렵다면 문의만 먼저 주세요. 단계를 나눠 진행하는 방안도 함께 찾아볼 수 있습니다.

이 글은 오픈컴 웹서비스 기획·운영팀이 작성했습니다. 오픈컴은 1998년 설립 이후 홈페이지 제작과 호스팅을 함께 제공해 왔습니다.