우리 회사 홈페이지도 해당될까? PHP 취약점 1분 판정표
PHP2Shell 뉴스를 봤지만 우리 회사가 해당되는지 모르는 사장님을 위해, 질문 다섯 개로 해당 없음·확인 필요·조치 필요를 가르는 판정표와 결과별 할 일, 제작사에 보낼 확인 문장을 정리했습니다.
글쓴이 Jeensuk Yang
PHPFree · 웹 보안 · 판정표
?이런 분께 권합니다
- PHP 취약점 뉴스를 봤지만 우리 회사가 해당되는지 모르는 분
- 홈페이지를 제작사에 맡겨서 무엇으로 만들었는지 잘 모르는 분
- 지금 할 일과 하지 않아도 될 일을 먼저 가르고 싶은 분
!이 글에서 알 수 있는 것
- PHP2Shell이 어떤 홈페이지에 해당되는지
- 질문 다섯 개로 「해당 없음·확인 필요·조치 필요」를 가르는 법
- 「모르겠다」가 많을 때 누구에게 무엇을 물으면 되는지
건강검진은 의사를 만나기 전에 문진표부터 씁니다.
"어디가 아프세요?"라는 질문에 바로 답하기는 어렵습니다. 그래서 문진표는 작은 질문부터 묻습니다. 잠은 잘 자는지, 약은 먹는지. 답을 적다 보면 내 몸의 지도가 그려집니다.
홈페이지도 같습니다. "우리 사이트가 위험한가?"라는 큰 질문 대신, 1분이면 답할 수 있는 작은 질문 다섯 개를 준비했습니다. 답이 「모르겠다」여도 괜찮습니다. 모른다는 것을 아는 데서 확인이 시작됩니다.
PHP2Shell은 어떤 홈페이지에 해당될까?
PHP로 움직이는 홈페이지 가운데, 아직 수정판으로 바뀌지 않은 PHP를 쓰는 곳이 해당됩니다. 회사의 크기나 업종과는 상관이 없습니다.
PHP 공식 발표는 위험한 대상을 「웹 요청을 처리하는 모든 PHP 설치」라고 적었습니다.1 보안 기업 공지에 따르면 PHP 5.4 이후의 기본 설정이 모두 영향권입니다.2 수정판은 8.5.12, 8.4.27, 8.3.36, 8.2.35이고, 8.1 이하는 PHP 프로젝트가 더 이상 업데이트를 내지 않습니다.1
문제는 PHP가 아주 흔하다는 데 있습니다. 서버에서 쓰는 언어를 알 수 있는 사이트 가운데 PHP를 쓰는 곳은 전 세계 69.3%, 한국(.kr) 75.2%, 일본(.jp) 83.5%입니다.3·4·5 한 동네 집 열 채 가운데 일곱 채가 같은 회사의 자물쇠를 단 셈입니다. 그 자물쇠에 결함이 있다면, 우리 집이 크든 작든 확인은 해 봐야 합니다.
공격하는 쪽이 고르는 것은 회사가 아니라, 아직 고치지 않은 자물쇠입니다.
보안 기업 Bitsight는 버전을 알 수 있는 PHP 가운데 이번 수정판이 나온 계열(8.2~8.5)을 쓰는 곳은 약 3분의 1뿐이라고 밝혔습니다. 가장 많이 보인 것은 지원이 끝난 7.4였습니다.6
진석 대표의 정리"우리 같은 작은 회사를 누가 노리겠어"는 반은 맞고 반은 틀립니다. 사람은 우리를 고르지 않습니다. 하지만 자물쇠를 두드리는 프로그램은 모든 집을 두드립니다.
1분 판정표: 어떤 질문에 답하면 될까?
아래 다섯 질문에 차례로 답하면 됩니다. 「예·아니오·모르겠다」 가운데 하나로 충분합니다.
- Q1 무엇으로 만들었나: 우리 홈페이지는 WordPress로 만들었나?
- Q2 누가 관리하나: 서버는 서버 회사가 관리하나, 우리 쪽(또는 제작사)이 직접 관리하나?
- Q3 공지가 있나: 서버 회사가 「수정을 마쳤다」고 공지했나?
- Q4 버전은: 우리 사이트의 PHP가 8.1 이하인가?
- Q5 숨은 사이트: 옛 이벤트 페이지, 시험용 서버, 관리자 페이지가 따로 있나?
하나라도 「모르겠다」면 결과는 「확인 필요」입니다. 그것도 훌륭한 답입니다.
| 질문 | 왜 묻나 |
|---|---|
| Q1 WordPress인가 | WordPress는 PHP 위에서 돌아갑니다. 공식 권장은 PHP 8.3 이상입니다7 |
| Q2 누가 관리하나 | KISA는 호스팅·솔루션 업체가 PHP를 관리하면 그 업체에 적용 여부를 확인·요청하라고 권합니다8 |
| Q3 수정 공지가 있나 | 카페24는 PHP 8.2 이상 서비스를 수정판으로 올렸고,9 일본의 Xserver·Sakura Internet·Lolipop·ConoHa WING은 제공하는 PHP 버전에 수정을 적용했다고 공지했습니다(Xserver의 PHP 5.1~5.5는 대부분의 서버에만 적용)10·11·12·13 |
| Q4 8.1 이하인가 | 공식 수정판이 없는 계열입니다. 서버 회사가 따로 고쳤는지 확인해야 합니다1·9 |
| Q5 숨은 사이트 | KISA는 외주 제작 사이트, 이벤트·시험용 서버, 관리자 페이지까지 실제로 돌아가는 서버를 기준으로 확인하라고 합니다8 |
진석 대표의 정리Q5는 자주 잊힙니다. 몇 년 전 행사 때 만든 페이지가 아직 살아 있다면, 그 페이지도 우리 집의 문입니다.
결과는 어떻게 읽고, 무엇을 하면 될까?
결과는 세 가지입니다. 「해당 없음」이면 할 일이 없고, 「확인 필요」면 공지를 읽고 한 줄 물으면 되고, 「조치 필요」면 업데이트 순서를 따르면 됩니다.
이 기준은 따뜻한기술의 30초 체크와 같습니다. 30초 체크도 사이트가 겉으로 보여 주는 정보만 읽고 이 세 가지로 알려 드립니다.
| 결과 | 이런 경우 | 할 일 |
|---|---|---|
| 해당 없음 | 홈페이지가 PHP를 쓰지 않는다(미리 만든 HTML만 보여 주는 정적 사이트 등) | 이번 일로 할 일은 없습니다 |
| 확인 필요 | WordPress이고 서버 회사가 관리하는 공유 렌탈 서버다. 또는 질문 가운데 「모르겠다」가 있다 | 서버 회사 공지를 읽고, 제작사에 한 줄 묻습니다(아래 4장) |
| 조치 필요 | 우리 쪽이 직접 관리하는 서버(VPS·자사 서버)인데 수정판 미만이다. 또는 8.1 이하인데 서버 회사의 수정 공지가 없다 | 「PHP 취약점 대처 가이드」의 순서대로 업데이트합니다 |
진석 대표의 정리「해당 없음」이 나오면 그대로 믿으셔도 됩니다. 저희도 그럴 때는 "지금은 옮기지 않아도 됩니다"라고 말씀드립니다.
「모르겠다」가 많다면 누구에게 무엇을 물을까?
홈페이지를 만든 제작사나 서버 회사에 물으면 됩니다. 아래 문장을 그대로 보내셔도 됩니다.
모른다는 것은 잘못이 아닙니다. 2025 정보보호 실태조사에서 침해를 직접 겪었다는 기업은 0.2%였지만, 침해 여부를 알지 못했다는 기업은 7.5%였습니다.14 모르는 회사가 겪은 회사보다 훨씬 많습니다. 길을 모를 때 길을 묻는 것은 부끄러운 일이 아니라, 가장 빨리 도착하는 방법입니다.
답을 받으면 판정표의 「모르겠다」를 「예·아니오」로 바꾸고 다시 읽으면 됩니다.
진석 대표의 정리묻는 데는 1분이면 됩니다. 답을 기다리는 동안 마음이 불편하다면, 30초 체크로 겉모습부터 먼저 보셔도 좋습니다.
이 판정표로 알 수 없는 것은 무엇일까?
판정표는 「해당되는가」만 알려 줍니다. 수정하기 전에 이미 누가 들어왔는지는 알려 주지 않습니다.
문진표가 병을 진단하지 않듯, 이 표도 침입 여부를 진단하지 않습니다. 30초 체크 역시 사이트가 겉으로 보여 주는 정보만 읽기 때문에, 서버 안쪽은 볼 수 없습니다. 「확인 필요」나 「조치 필요」가 나왔다면, 수정과 함께 「우리 사이트에 뒷문이 남았을까?」의 셀프 체크도 해 보세요.
진석 대표의 정리표는 지도이지 목적지가 아닙니다. 다만 지도가 있으면, 다음에 어디로 가야 할지는 분명해집니다.
PHP 취약점 해당 여부에 관해 자주 묻는 질문
WordPress가 아니면 해당되지 않나요?
그렇지 않습니다. PHP 공식 발표는 웹 요청을 처리하는 모든 PHP를 위험 대상으로 보므로, PHP로 만든 다른 프로그램도 확인이 필요합니다.
카페24를 쓰면 할 일이 없나요?
PHP 8.2 이상이라면 카페24가 수정판을 적용했습니다. 지원이 끝난 옛 버전이라면 카페24도 빨리 최신 버전으로 전환하라고 권합니다.
「확인 필요」가 나오면 위험한 건가요?
아닙니다. 아직 모른다는 뜻입니다. 서버 회사 공지와 제작사 답변으로 대부분 「해당 없음」이나 「조치 필요」로 정리됩니다.
SOURCES
- PHP Group 「Security advisory: Critical remote code execution vulnerabilities, update now」(2026년 10월 21일) php.net
- Vercel 「PHP security advisory: php2shell (CVE-2026-109618, CVE-2026-109619)」(작성일 표기 없음) vercel.com
- W3Techs 「Usage statistics of PHP」(2026년 10월 24일) w3techs.com
- W3Techs 「Server-side programming languages on .kr sites」(2026년 10월 24일) w3techs.com
- W3Techs 「Server-side programming languages on .jp sites」(2026년 10월 24일) w3techs.com
- Bitsight 「CVE-2026-109618 and CVE-2026-109619 (PHP2Shell): Two Critical PHP Remote Code Execution Flaws」(2026년 10월 21일) bitsight.com
- WordPress.org 「Requirements」(2026년 5월 7일 수정) wordpress.org
- KISA 보호나라 「PHP 보안취약점(PHP2Shell) 관련 기업 보안 대응 수칙」(2026년 10월 22일) boho.or.kr
- 카페24 「PHP 공식 보안 패치 적용 작업 공지」(작업일 2026년 10월 21일) help.cafe24.com
- Xserver 「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」(일본어, 2026년 10월 22일 게시) xserver.ne.jp
- Sakura Internet 「【重要】PHPの脆弱性に関する当社の対応状況について」(일본어, 2026년 10월 22일, 10월 23일 추기) sakura.ad.jp
- Lolipop 「PHPの脆弱性への対応に伴うメンテナンス完了と経緯のご報告」(일본어, 2026년 10월 22일) lolipop.jp
- ConoHa WING 「【重要】PHPの脆弱性への弊社対応完了のお知らせ（終報）」(일본어, 2026년 10월 22일) conoha.jp
- 바이라인네트워크 「기업 80.6% "정보보호 중요"…정책 보유는 52.6%」(2026년 3월 27일, 과기정통부 「2025 정보보호 실태조사」 보도) byline.network
해당 여부를 확인했다면, 다음 순서는 아래 글에서 이어집니다.
- 우리 회사 홈페이지도 해당될까? 1분 판정표 (이 글)
- PHP 취약점 대처 가이드: 확인부터 PHP 탈피까지
- PHP 버전, 어디서 보고 어떻게 바꿀까? 서버 회사별 방법
- 우리 사이트에 뒷문이 남았을까? 웹셸·침입 흔적 셀프 체크
무슨 일이 있었는지는 위험편 1편 「PHP2Shell이란?」에서 읽을 수 있습니다.
판정표의 답이 막힌다면, 30초면 됩니다.
사이트 주소만 넣으면 이 글과 같은 기준으로 PHP 사용 여부와 서버 회사의 대응 상황을 알려 드립니다. 해당되지 않는다면 "지금은 옮기지 않아도 됩니다"라고 그대로 알려 드립니다.
무료로 30초 체크하기결과를 보고 상담이 필요하시면 따뜻한기술에 문의하기
최종 수정 2026년 10월 25일
