PHP2Shell, 워드프레스 ‘사이트 상태 좋음’이면 안전할까? 8.3.32·8.3.36 직접 비교

워드프레스 ‘도구 → 사이트 상태’가 PHP를 ‘권장 버전’이라고 표시해도, 2026년 10월 21일 공개된 PHP2Shell 수정이 끝났다는 뜻은 아닙니다. 실제로 한 워드프레스 설치의 PHP 8.3.32는 사이트 상태 검사에서 ‘좋음(good)’으로 나왔지만, PHP 프로젝트가 같은 8.3 계열의 두 취약점 수정 버전으로 제시한 것은 8.3.36입니다. 사이트 운영자는 초록색 판정만 보지 말고 웹사이트가 쓰는 PHP의 전체 버전과 호스팅 업체의 수정 적용 내역을 대조해야 합니다.

10월 22일 오전 9시 30분 Google Trends 대한민국 실시간 인기(지난 24시간·모든 카테고리·관련성 내림차순)에는 ‘php’가 5천+ 검색, ‘php 취약점’이 2천+ 검색으로 표시됐습니다. 검색 증가의 원인은 이 목록만으로 알 수 없습니다. 이 글은 사이트 운영자가 가장 먼저 마주치는 “워드프레스는 정상이라고 하는데, 이번 PHP 보안 수정도 끝난 걸까?”라는 질문을 실제 검사 결과와 두 프로젝트의 공식 문서로 확인합니다.

직접 대조한 결과: ‘좋음’은 이번 패치의 증명이 아니었다

2026년 10월 22일, 편집부가 관리하는 워드프레스 설치에서 워드프레스의 PHP 사이트 상태 검사를 실행하고, 같은 설치의 PHP 버전을 확인했습니다. 운영 서버를 수정 버전으로 교체하기 전과 후에 똑같은 검사를 한 결과입니다. 보안상 서버 위치나 설정값은 공개하지 않습니다.

검사 결과의 문구는 두 경우 모두 같았고, 패치 기준을 충족하는지는 전체 버전 숫자를 대조해야만 구분할 수 있었습니다. 워드프레스의 공개 검사 코드는 PHP가 지원·보안 업데이트를 받는 계열인지 등의 응답을 사용합니다. 이 실측 사례는 사이트 상태의 초록색 표시가 개별 취약점 두 건의 수정 적용 증명으로 쓰일 수 없음을 보여줍니다. 업데이트 전 침해가 있었다는 뜻은 아니며, 이 검사만으로 공격 가능성을 실험한 것도 아닙니다.

PHP 프로젝트가 제시한 수정 버전은?

PHP 프로젝트의 10월 21일 보안 공지는 인증 없이 원격 코드 실행으로 이어질 수 있는 두 문제(CVE-2026-109618, CVE-2026-109619)를 알리고 즉시 업데이트를 권고했습니다. 웹 요청을 처리하는 PHP-FPM, Apache mod_php 등도 대상 범위에 들어갑니다. 공식 공지에 적힌 각 계열의 수정 버전은 다음과 같습니다.

8.1 이하 버전은 PHP 프로젝트의 일반적인 업데이트 대상이 아닙니다. 다만 공식 공지는 일부 배포판과 장기 지원 업체가 수정을 이전 버전에 적용할 수 있다고 명시합니다. 따라서 낮은 버전 표시만으로 업체의 수정 여부를 단정하지 말고, 두 CVE가 모두 적용됐는지 공급업체 공지 또는 지원 답변을 확인해야 합니다. 반대로 8.2·8.3 같은 계열 이름만 보고 안전하다고 판단해서도 안 됩니다.

워드프레스 운영자는 어디에서 무엇을 확인할까

1. 워드프레스 관리자에서 도구 → 사이트 상태 → 정보 → 서버를 열어 PHP의 전체 버전(예: 8.3.32)을 적습니다. 워드프레스 공식 설명은 이 화면이 서버 설정과 PHP 정보를 보여준다고 안내합니다. 상태 탭의 ‘좋음’ 문구만으로 판단하지 않습니다.
2. 위 표의 PHP 공식 수정 버전과 대조합니다. 호스팅 업체가 별도 패치를 제공한다면 “CVE-2026-109618과 CVE-2026-109619가 실제 웹 요청을 처리하는 PHP에 모두 적용됐는지, 작업 완료일은 언제인지”를 확인합니다. 관리형 호스팅의 백포트는 단순 버전 비교만으로 판정할 수 없습니다.
3. 수정 전이라면 사이트 파일과 데이터베이스를 백업한 뒤, 호스팅 관리 화면 또는 업체 지원을 통해 PHP를 업데이트합니다. 워드프레스의 PHP 업데이트 안내도 PHP 버전이 서버 수준에서 정해지며 백업과 호환성 확인이 필요하다고 설명합니다. 워드프레스 본체나 플러그인 업데이트만으로 서버의 PHP가 바뀌지는 않습니다.
4. 업데이트 후 사이트 상태의 정보 → 서버에서 버전을 다시 확인하고, 공개 페이지·관리자 로그인·글 작성 등 주요 기능이 정상 동작하는지 점검합니다. 자체 서버라면 실행 중인 웹 처리 프로세스까지 새 버전으로 교체됐는지도 확인해야 합니다.

PHP 공지는 일부 설정 변경이 노출을 줄일 수는 있어도 완전한 해결책은 업데이트뿐이라고 명시합니다. 임시 설정이나 보안 플러그인만으로 수정 완료라고 표시해서는 안 됩니다.

확인 범위와 한계

2026년 10월 22일 로컬 브라우저에서 PHP 공식 공지와 워드프레스 공식 문서·검사 코드를 읽고, 관리 중인 한 설치에서 PHP 8.3.32와 8.3.36의 사이트 상태 결과를 직접 비교했습니다. 따라서 ‘좋음’과 개별 긴급 패치 완료가 같은 판정이 아니라는 것은 이 사례에서 확인했습니다. 다른 호스팅 업체의 백포트 적용 여부, 개별 사이트의 침해 여부, 모든 서버 구성의 검사 결과까지 확인한 것은 아닙니다. 다른 환경에서는 공급업체의 공식 수정 내역을 함께 보세요. 이 검증 절차는 왜뜸 조사 방법에 따라 원문과 자체 확인을 구분했으며, 정정이 필요하면 문의로 알려 주세요.