PHP 8.2 지원 종료(12월 31일) 전에 정해 둘 것
PHP 8.2 지원은 2026년 12월 31일에 끝납니다. 옛 PHP로 해를 넘기는 위험, 최신 PHP로 올릴 때의 함정, 연말까지의 달력과 중소기업이 고를 수 있는 세 가지 길을 정리합니다.
글쓴이 Jeensuk Yang
PHPFree · 웹 보안 · 위험편 05
?이런 분께 권합니다
- PHP2Shell 소동이 끝나 한숨 돌린 분
- 회사 사이트가 PHP 8.2 이하에서 돌아가고 있는 분
- 해마다 반복되는 업데이트를 어떻게 할지 정하고 싶은 분
!이 글에서 알 수 있는 것
- PHP 8.2 지원 종료(2026년 12월 31일)가 뜻하는 것
- 최신 PHP로 올릴 때 막히기 쉬운 곳
- 연말까지의 달력과, 중소기업이 고를 수 있는 세 가지 길
겨우 잠잠해졌지만, 달력을 봐 주세요.
10월 21일 수정 이후 렌탈 서버 각사의 긴급 점검도 끝났고, 뉴스도 줄고 있습니다. 하지만 두 달쯤 뒤인 2026년 12월 31일에 PHP 8.2의 지원이 끝납니다. 이번 소동이 '마지막'이 아니라 '시작'일 수 있는 이유와, 연말까지 정해 둘 것을 말씀드리겠습니다.
PHP 8.2 지원이 끝나면 무엇이 달라질까?
구멍이 발견되어도 원칙적으로 수정판이 나오지 않습니다. PHP에는 버전마다 지원 기간이 있고, PHP 8.2의 지원은 2026년 12월 31일에 끝납니다.1 자동차로 치면 제조사 정비소가 그 차종의 접수를 그만두는 것과 같습니다. 차는 굴러가지만, 고장 나도 고쳐 주지 않습니다.
이번에는 이미 지원이 끝난 7.4·8.0·8.1에도 이례적으로 최소한의 수정이 공개됐습니다.1 "이례적"이라는 말은 다음에도 해 준다는 보장이 없다는 뜻입니다.
진석 대표의 정리해가 바뀌면 PHP 8.2도 "고쳐 주지 않는 쪽"으로 넘어갑니다. 지금 8.2 이하라면 연말 전에 방향을 정해야 합니다.
지원이 끝난 PHP는 드문 걸까?
결코 드물지 않습니다. 해외 조사 회사 CybelAngel의 보고와, 이번 수정 직후의 움직임을 숫자로 보면 이렇습니다.
10월 23일, PHP 개발팀은 세션 처리와 관련된 별도의 취약점(CVE-2026-115560)을 공표했습니다. 10월 21일의 수정으로는 해결되지 않으며, 수정판은 다음 정기 업데이트에 포함될 예정입니다.3·4 규모는 작고 조건도 한정되어 PHP 측도 "실제로는 일어나기 어렵다"고 설명하지만, 큰 수정 직후에 관련된 다른 구멍이 나왔다는 것은 사실입니다.
진석 대표의 정리"한 번 고치면 끝"이 아닙니다. 고쳐 주는 기간이 남아 있는 버전을 쓰는 것이 기본입니다.
왜 구멍은 계속 발견될까?
찾는 도구가 달라졌기 때문입니다. 이번 PHP2Shell은 AI를 활용한 조사에서 발견됐고, 발견자 중 한 곳인 Wiz는 AI 덕분에 공격 코드를 만드는 수고도 크게 줄었다고 지적했습니다.5
지키는 쪽에게는 구멍이 빨리 발견되는 것이 좋은 일입니다. 다만 공격하는 쪽도 같은 도구를 쓸 수 있습니다.
오래되고 큰 프로그램일수록 앞으로도 구멍이 계속 발견될 것이라고 저는 생각합니다.
진석 대표의 정리이번 일을 '한 번의 사고'가 아니라 '앞으로 반복될 일'로 보고 준비하는 편이 현실적입니다.
최신 PHP로 올리면 끝일까?
생각 자체는 맞지만, 실제로 해 보면 막히는 경우가 많습니다. PHP 8.2를 쓰고 있다면 8.3 이상으로 옮길 계획을 세우라고 권장되고 있습니다.1·6
- 옛 테마나 플러그인이 새 PHP를 지원하지 않는다. 몇 년 전에 만든 사이트에서는 PHP를 올린 순간 화면이 하얗게 되거나 일부 페이지가 표시되지 않기도 합니다.
- 그래서 운영 서버에 적용하기 전에 시험해야 한다. @IT는 수정판으로 업데이트할 때도 먼저 운영 환경이 아닌 곳에서 시험해 보라고 권합니다.1
- 이 일은 거의 해마다 반복된다. PHP 버전에는 수명이 있으므로, 사이트를 가지고 있는 한 이 작업은 주기적으로 돌아옵니다.
연말까지의 달력
| 시기 | 할 일 |
|---|---|
| 10월 중 | 우리 사이트의 PHP 버전과 서버 관리자(서버 회사인지, 우리 회사·제작사인지)를 확인 |
| 11월 | 8.2 이하라면 8.3 이상에서 작동하는지 시험 환경에서 확인. 테마·플러그인 지원 여부 확인 |
| 12월 초 | 운영 사이트 전환. 화면 표시와 문의 폼 확인 |
| 12월 31일 | PHP 8.2 지원 종료 |
진석 대표의 정리11월에 시험해 두면 12월에 허둥대지 않습니다. 시험할 곳이 없다면 그것부터 정해 두세요.
그럼 귀사는 어떻게 할까?
선택할 수 있는 길은 세 가지입니다.
사내에 담당자가 있고 시험할 시간을 낼 수 있다면, 이것이 정석입니다.
버전 업그레이드와 취약점 대응을 외부에 맡깁니다. "누가 고치는지"는 정해집니다.
페이지가 적고 업데이트가 많지 않다면 '정적 사이트'로 옮길 수 있습니다. PHP의 지원 종료와 기초의 구멍이 처음부터 상관없어집니다.
진석 대표의 정리연말에 허둥댈 이유를 내년에도, 그다음 해에도 안고 갈 필요는 없습니다. 한 번쯤 "우리 사이트에 정말 PHP가 필요한가?"를 물어봐 주세요.
PHP 8.2 지원 종료에 관해 자주 묻는 질문
PHP 8.2 지원은 언제 끝나나요?
2026년 12월 31일입니다. 그 뒤에는 원칙적으로 구멍이 발견되어도 수정판이 나오지 않습니다.
렌탈 서버를 쓰고 있다면 서버 회사가 알아서 해 주나요?
일부는 그렇지만, 기대어서는 안 됩니다. 이번에는 옛 버전에도 수정을 넣어 준 서버 회사가 있었지만, 이용자에게 새 버전으로 바꿔 달라고 요청하고 있습니다.
8.3으로 올리면 이제 걱정 없나요?
아닙니다. PHP 버전에는 수명이 있어서, 사이트를 가지고 있는 한 주기적으로 올려야 합니다.
SOURCES
- @IT(일본어, 2026년 10월 23일) atmarkit.itmedia.co.jp
- CybelAngel 「2.24M Internet-Facing PHP Hosts, 59% on Versions With No Fix Coming」(2026년 10월 21일) cybelangel.com
- PHP Group, CVE-2026-115560 관련 공지(2026년 10월 23일) php.net/archive/2026.php
- KISA 보호나라 「PHP 신규 취약점(CVE-2026-115560) 임시 조치 권고」(2026년 10월 24일) boho.or.kr
- Wiz Research 「PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet」(2026년 10월 21일) wiz.io
- 바이라인네트워크 「KISA, 'PHP2Shell' 보안 취약점 긴급 대응 수칙 공개」(2026년 10월 22일) byline.network
- Xserver 공지(일본어, 2026년 10월 22일) xserver.ne.jp
- Lolipop 공지(일본어, 2026년 10월 22일) lolipop.jp
PHP2Shell을 계기로, 중소기업 홈페이지가 알아 둘 위험을 다섯 편으로 정리합니다.
- PHP2Shell이란? 중소기업 홈페이지에 무슨 일이 있었나
- 패치가 끝났는데 왜 안심할 수 없을까? 세 가지 경우
- VPS·자사 서버의 PHP 사이트는 왜 아직 위험할까
- 패치 전에 이미 들어왔다면? 공격의 흔적 세 가지
- PHP 8.2 지원 종료(12월 31일) 전에 정해 둘 것 (이 글)
다른 글은 따뜻한기술 블로그에서 볼 수 있습니다.
연말까지, 방향만이라도 정해 두세요.
사이트 주소만 넣으면 PHP 사용 여부와 서버 회사의 대응 상황을 바로 알려 드립니다. 해당되지 않는다면 "지금은 옮기지 않아도 됩니다"라고 그대로 알려 드립니다.
무료로 30초 체크하기결과를 보고 상담이 필요하시면 따뜻한기술에 문의하기
최종 수정 2026년 10월 24일
