PHP 버전, 어디서 보고 어떻게 바꿀까? 서버 회사별 방법

우리 사이트의 진짜 PHP 버전은 어디서 볼까?

WordPress 관리 화면의 '도구 → 사이트 건강 → 정보 → 서버'에서 'PHP 버전' 줄을 봅니다. 보기만 하는 화면이라 눌러도 바뀌는 것은 없습니다.^1·2·3

같은 화면의 '상태' 탭은 PHP가 오래되었으면 보안 문제로 빨갛게 알려 줍니다.¹ 서버에서 php -v라는 명령으로 본 번호는 명령어용 PHP라서, 홈페이지가 쓰는 PHP와 다를 수 있습니다. PHP 공식 문서도 명령어용과 웹용이 서로 다른 설정 파일을 읽을 수 있다고 설명합니다.^4·5·6

그런데 번호에는 함정이 하나 더 있습니다. 자동차의 연식을 보고 리콜 수리를 받았는지 알 수는 없습니다. 수리 기록을 봐야 합니다. PHP도 마찬가지입니다.

• ConoHa WING은 옛 번호에 수정만 넣는 방식이라 예전과 같은 번호(예: 8.5.11)가 보일 수 있다고 밝혔습니다.¹⁰
• Kinsta도 화면의 번호가 보안 수정 여부를 늘 보여 주지는 않는다고 했습니다.¹¹
• Ubuntu 24.04의 수정판은 php -v에 8.3.6으로 나옵니다. 뒤에 붙은 꼬리 번호로 수정 여부를 판단합니다.¹²

1. 보기: '도구 → 사이트 건강 → 정보 → 서버'에서 PHP 버전 확인
2. 읽기: 서버 회사 공지에서 우리 버전에 수정이 들어갔는지 확인
3. 정하기: 지원이 끝나는 버전이면 언제, 몇 버전으로 옮길지 정하기
4. 준비: 백업, 플러그인 업데이트, 데이터 초기화 여부 확인
5. 바꾸고 확인: 화면·문의 폼·글 올리기가 되는지 본다

1번과 2번은 오늘 10분이면 됩니다. 3번부터는 날짜를 정해 차분히 합니다.

보고, 읽고, 정합니다.

진석 대표의 정리번호는 '몇 년식인가'를 알려 주고, 서버 회사 공지는 '수리를 받았는가'를 알려 줍니다. 둘을 함께 봐야 합니다.

PHP2Shell 때문에 지금 버전을 꼭 바꿔야 할까?

공유 렌탈 서버라면 대부분 지금 서두를 필요는 없습니다. 다만 PHP 8.2 이하를 쓰고 있다면, 올해 안에 옮길 날짜를 정해 두는 것이 좋습니다.

Xserver, ConoHa WING, Sakura Internet, 카페24, Kinsta는 이번 수정을 회사가 적용했고 고객이 버전을 바꿀 필요는 없다고 공지했습니다.^{10·11·13·14·15} Lolipop만 8.2 이상으로 전환해 달라고 요청했습니다.¹⁶

그런데 PHP 8.2의 공식 지원은 2026년 12월 31일에 끝납니다(위험편 5편). "8.2 이상"이라는 안내대로 8.2로 옮기면 두 달 뒤 또 옮겨야 합니다. 재계약이 두 달 남은 집으로 이사하는 셈입니다.

위 권장은 WordPress.org와 Xserver 매뉴얼에 있습니다.^2·17 다만 서버 회사마다 고를 수 있는 버전이 다릅니다. 카페24 뉴아우토반의 신규 가입 목록에는 8.4, 8.2, 7.4가 있고 8.3은 없습니다.¹⁸ Sakura Internet의 이번 대응 목록에는 8.4와 8.5가 없습니다.¹⁴

진석 대표의 정리"지금 당장"과 "언젠가" 사이에 "올해 안"이 있습니다. 급하지는 않지만, 달력에 날짜 하나는 적어 두세요.

서버 회사별로 PHP 버전은 어디서 바꿀까?

대부분 서버 회사의 관리 화면에서 도메인마다 바꿉니다. 메뉴 이름과 반영 시간은 회사마다 다르니, 아래 표에서 우리 회사를 찾아보세요.

메뉴 이름은 원래 화면의 말을 한국어로 옮겨 적었습니다. 실제 화면에서는 일본어나 영어로 보일 수 있습니다.

진석 대표의 정리메뉴를 찾기 어려우면 서버 회사 고객센터에 "PHP 버전을 바꾸는 메뉴가 어디냐"고 물어보세요. 그것도 훌륭한 첫걸음입니다.

바꾸기 전에 꼭 알아야 할 함정은?

회사에 따라 PHP 버전을 바꾸는 일이 '이사'가 되어 기존 데이터가 지워질 수 있습니다. 또 한 번 올리면 되돌릴 수 없는 경우도 있습니다.

어떤 회사에서는 버전 변경이 방 안의 가구 배치를 바꾸는 일입니다. 또 어떤 회사에서는 짐을 모두 빼고 새 집으로 들어가는 이사입니다. 이삿날 짐을 챙기지 않으면 빈집에 도착합니다.

1. 카페24: 서버 환경을 바꾸면 기존 데이터와 DB가 지워집니다. 백업은 7일 보관되고, 바꾼 뒤 48시간 안에는 예전 환경으로 되돌릴 수 있습니다. 파일과 DB를 새 환경으로 옮기는 방법은 따로 안내합니다.^18·25
2. 가비아: 서버 환경을 바꾸면 기존 자료가 초기화되고, 초기화 뒤에는 복원할 수 없습니다. FTP·DB 비밀번호도 새로 설정되고, 서버가 바뀌면 접속 IP와 폴더 경로도 바뀝니다.²²
3. Lolipop: PHP 7.1 미만에서 올렸다면 예전 버전으로 되돌릴 수 없습니다. 바꾼 뒤 데이터베이스 연결 오류가 나면 DB 비밀번호 형식을 바꿔야 할 수 있습니다.¹⁹
4. ConoHa WING: 도메인별로 바꾸면 .htaccess 파일에 'AddHandler'로 시작하는 줄이 생깁니다. 이 줄을 지우면 설정이 어긋날 수 있습니다.²⁰
5. Sakura Internet: 메일 주소로 로그인하면 메일 설정만 보입니다. 도메인과 비밀번호로 로그인해야 버전 메뉴가 나옵니다.²¹

같은 '버전 변경'이라는 말이, 어떤 회사에서는 클릭 한 번이고 어떤 회사에서는 이사입니다.

진석 대표의 정리카페24나 가비아를 쓰신다면, 버튼을 누르기 전에 백업과 이전 계획부터 세우세요. 이 부분은 전문가에게 맡겨도 부끄러운 일이 아닙니다.

VPS나 자사 서버라면 무엇을 확인할까?

서버에 설치된 PHP 패키지의 변경 기록(changelog)에서 CVE 번호를 찾고, 올린 뒤에는 PHP-FPM과 웹 서버를 재시작합니다. 이 부분은 서버를 맡은 담당자에게 그대로 전해 주세요.

• Ubuntu·Debian: apt-get changelog로 설치된 패키지의 변경 기록을 봅니다.²⁶ Debian은 이번에 8.4.27, 8.2.35처럼 공식 수정판 번호로 올렸고,²⁷ Ubuntu는 앞부분 번호를 그대로 둔 채 꼬리 번호로 수정을 표시했습니다.¹²
• Red Hat 계열: Red Hat은 버전 번호만 봐서는 취약한지 알 수 없다고 말합니다.²⁸ dnf updateinfo list security --installed로 적용된 보안 권고를, rpm -q --changelog로 패키지 변경 기록을 봅니다.^29·30
• 재시작: Red Hat은 바꾼 뒤 모든 워커를 재시작해야 하고, 설정 다시 읽기(reload)로는 부족하다고 밝혔습니다.³¹ KISA도 재시작을 강조합니다.⁵

진석 대표의 정리사장님이 명령어를 외울 필요는 없습니다. "changelog에서 CVE-2026-109618을 확인했는지, 재시작했는지" 두 가지만 담당자에게 물어보세요.

버전을 바꾼 뒤에는 무엇을 확인할까?

화면이 제대로 뜨는지, 문의 폼과 파일 올리기, 글 올리기가 되는지 확인합니다. 그리고 '사이트 건강' 화면을 다시 엽니다.

WordPress.org는 바꾸기 전에 백업을 받고, WordPress 본체·테마·플러그인을 먼저 최신으로 올린 뒤 PHP를 바꾸라고 권합니다. 바꾼 뒤에는 사이트가 기대대로 동작하는지 확인하고, 문제가 생기면 버전을 되돌리라고 합니다.² '사이트 건강'의 상태 탭에서 남은 경고가 없는지도 봅니다.¹

• Lolipop은 사이트 표시, 문의 폼, 파일 업로드를 확인하라고 안내합니다.¹⁶
• Sakura Internet은 사이트 표시와 글 올리기를 확인하고, 이상하면 예전 버전으로 되돌리라고 합니다.²¹
• Kinsta는 완료 알림을 확인한 뒤 캐시를 지우고, 테마·플러그인이 제대로 도는지 보라고 합니다.²³

화면이 하얗게 변했다면 「PHP를 올렸더니 화면이 하얗게 변했다면?」의 순서대로 원인을 찾으면 됩니다.

진석 대표의 정리버전을 바꾸는 데는 몇 분이면 되지만, 확인하는 데는 30분을 쓰세요. 손님이 먼저 고장을 발견하게 해서는 안 됩니다.