PHP를 사용하는 웹사이트라면 서버에 설치된 PHP 버전을 확인할 필요가 있습니다. 보안 지원이 끝난 PHP를 계속 사용하면 새로운 취약점이 발견돼도 공식 보안 패치를 제공받지 못할 수 있기 때문입니다.
특히 2026년 10월 21일 PHP 개발팀은 인증 없이 원격 코드 실행으로 이어질 수 있는 두 가지 중요 취약점을 수정한 보안 업데이트를 발표했습니다. 현재 PHP 8.2부터 8.5까지의 지원 버전을 사용하더라도 업데이트 전 패치 버전이라면 점검이 필요합니다.
그렇다면 2026년에는 어떤 PHP 서버 버전을 사용해야 할까요? 최신 버전과 보안 지원 종료일, PHP 버전 확인방법, 안전하게 업데이트하는 절차를 정리했습니다.
- PHP 8.5: 8.5.12 이상 보안 수정 버전
- PHP 8.4: 8.4.27 이상 보안 수정 버전
- PHP 8.3: 8.3.36 이상 보안 수정 버전
- PHP 8.2: 8.2.35 이상, 2026년 말 지원 종료 예정
- PHP 8.1 이하: 공식 보안 지원 종료
각 숫자는 2026년 10월 21일 중요 보안 취약점의 공식 수정 버전입니다. 같은 계열에서 후속 보안 패치가 나오면 더 최신 버전을 사용해야 합니다.
1. PHP 서버 버전과 보안 취약점의 관계
PHP는 워드프레스나 각종 웹사이트, 쇼핑몰, 웹 애플리케이션에서 널리 사용되는 서버 측 프로그래밍 언어입니다.
방문자가 웹페이지를 열거나 회원가입·로그인·게시물 작성 등의 작업을 하면 서버에서 PHP 프로그램이 실행될 수 있습니다.
그런데 PHP 실행 환경에 보안 취약점이 존재하면 공격자가 이를 이용해 서버에 비정상적인 요청을 보내거나 시스템의 기밀성·무결성·가용성을 훼손할 가능성이 있습니다.
PHP 버전이 오래되면 왜 위험할까요?
PHP는 버전별로 공식 지원기간이 정해져 있습니다. 지원기간이 지나면 해당 버전에서는 새로운 취약점에 대한 공식 보안 업데이트가 중단됩니다.
예를 들어 PHP 7.4나 PHP 8.0을 계속 사용하고 있다면, PHP 개발팀의 공식 지원이 이미 끝났다는 의미입니다.
다만 오래된 버전이라고 모든 웹사이트가 이미 해킹당했다는 뜻은 아닙니다. 중요한 것은 현재 설치된 버전에 알려진 취약점이 있는지, 보안 패치를 받고 있는지 확인하는 것입니다.
2. 2026년 PHP 지원 버전과 종료일
PHP 공식 지원 정책에 따르면 각 주요 버전 계열은 최초 안정 버전 출시 후 약 2년 동안 일반 버그 수정과 보안 지원을 받고, 이후 약 2년 동안 중요 보안 수정만 제공받습니다.
총 4년의 지원기간이 끝나면 공식 지원 종료 상태가 됩니다.
| PHP 계열 | 일반 지원 종료 | 보안 지원 종료 | 2026년 10월 상태 |
|---|---|---|---|
| PHP 8.5 | 2027.12.31 | 2029.12.31 | 일반 지원 |
| PHP 8.4 | 2026.12.31 | 2028.12.31 | 일반 지원 |
| PHP 8.3 | 2025.12.31 | 2027.12.31 | 보안 지원 |
| PHP 8.2 | 2024.12.31 | 2026.12.31 | 보안 지원 종료 임박 |
| PHP 8.1 이하 | 종료 | 종료 | 공식 지원 종료 |
따라서 2026년 10월 기준으로 공식 지원을 받는 계열은 PHP 8.2, 8.3, 8.4, 8.5입니다.
하지만 공식 지원 중인 계열이라는 이유만으로 그 계열의 모든 세부 버전이 안전한 것은 아닙니다. 실제 보안 패치가 적용된 세부 버전까지 확인해야 하죠.
3. 10월 긴급 보안 취약점과 수정 버전
2026년 10월 21일 PHP 개발팀은 중요 보안 취약점 두 가지에 대한 긴급 보안 패치를 공개했습니다.
공식 보안 공지에서 설명한 취약점은 다음과 같습니다.
- CVE-2026-109618: 메모리 부족 처리 과정의 내부 상태 손상과 관련된 원격 코드 실행 취약점
- CVE-2026-109619: 해제된 메모리와 관련된 내부 상태가 남아 발생할 수 있는 원격 코드 실행 취약점
두 취약점 모두 특정 조건에서는 인증하지 않은 공격자가 원격 코드 실행을 유발할 수 있어 중요하게 다뤄졌습니다.
보안 패치가 포함된 버전
| PHP 계열 | 2026년 10월 21일 수정 버전 |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
PHP 개발팀은 PHP-FPM, Apache mod_php, php-cgi, LiteSpeed 등 웹 요청을 처리하는 PHP 환경에 위험이 있을 수 있다고 안내했습니다.
특히 관련 공지에서는 mod_php 환경에 대한 공격 사례를 언급하며 신속한 업데이트를 권고했습니다.
공식 보안 공지에서는 해당 취약점에 대한 완전한 우회 완화책이 없다고 밝혔습니다. 따라서 해당 버전의 보안 패치를 적용하는 것이 핵심입니다.
4. 현재 PHP 서버 버전 확인방법
PHP 보안 업데이트를 진행하기 전에 현재 서버에서 어떤 버전을 사용 중인지 확인해야 합니다.
방법 1. SSH에서 확인하기
서버 터미널에 접속할 수 있다면 아래 명령어로 PHP 명령줄 환경의 버전을 확인할 수 있습니다.
php -v예를 들어 PHP 8.4.27처럼 버전 정보가 표시됩니다.
단, 이 명령어는 CLI 환경의 버전을 보여줍니다. 웹서버가 PHP-FPM 등을 통해 다른 버전을 실행할 수 있으므로 웹 요청을 처리하는 실제 PHP 버전도 별도로 확인해야 합니다.
방법 2. 웹호스팅 관리화면
공유호스팅 서비스를 이용하는 경우에는 호스팅 관리화면에서 PHP 설정이나 웹서버 환경정보 메뉴를 찾아보세요.
서비스마다 메뉴 이름이 다르며, PHP 버전 변경 기능을 제공하지 않는 호스팅 상품도 있습니다.
방법 3. 워드프레스 관리자
워드프레스에서는 관리자 화면의 도구 메뉴에서 사이트 건강 상태와 서버 정보를 확인할 수 있습니다.
사이트 건강 상태의 정보 항목 중 서버 관련 부분에 PHP 버전이 표시될 수 있어요.
phpinfo()는 서버 설정과 모듈 정보 등 민감할 수 있는 환경정보를 표시합니다. 불가피하게 사용한다면 접근을 제한하고 확인 직후 해당 파일을 제거해야 합니다.
5. PHP 버전 업데이트 방법
PHP 업데이트 방법은 서버 운영 방식에 따라 달라집니다.
공유 웹호스팅
- 호스팅 관리화면에 로그인합니다.
- 현재 PHP 버전을 확인합니다.
- 웹사이트 파일과 데이터베이스를 백업합니다.
- 지원 가능한 PHP 버전 목록을 확인합니다.
- 사이트 호환성을 점검한 뒤 버전을 변경합니다.
- 웹사이트 주요 기능을 확인합니다.
호스팅사가 PHP 패치까지 관리하는 경우에는 설치된 버전에 보안 패치가 반영됐는지도 문의하는 것이 좋겠습니다.
직접 운영하는 리눅스 서버
VPS나 전용서버를 직접 운영한다면 운영체제의 패키지 관리체계와 공식적으로 지원되는 PHP 패키지 저장소를 이용해 업데이트해야 합니다.
Ubuntu나 Debian 계열과 RHEL 계열은 패키지 명령어 및 PHP 서비스 구성이 다르므로 운영체제에 맞는 절차를 확인해야 하죠.
패키지 업데이트 후 PHP-FPM, 웹서버, 관련 확장 모듈의 정상 작동 여부를 확인하는 것도 중요합니다.
현재 버전 확인 → 백업 → 테스트 환경 구축 → 호환성 검사 → 보안 업데이트 → 서비스 재시작 → 기능 점검 → 로그 모니터링
6. 업데이트 전 호환성 확인사항
보안상 최신 PHP 사용이 중요하지만, 아무런 준비 없이 버전을 올리면 웹사이트가 정상적으로 작동하지 않을 수 있습니다.
특히 기존 웹사이트에서 오래된 PHP 문법이나 지원이 종료된 확장 모듈을 사용한다면 오류가 발생할 가능성이 있습니다.
워드프레스 운영자라면
- 워드프레스 코어 버전 확인
- 테마와 플러그인의 PHP 호환성 확인
- 캐시 및 보안 플러그인의 호환성 점검
- 데이터베이스 연결 및 관리자 로그인 테스트
- 게시물 작성, 파일 업로드, 검색 기능 점검
쇼핑몰이나 회원제 사이트라면
결제 모듈, 로그인 세션, 회원가입, 주문내역, 문자나 이메일 발송 기능 등 실제 운영에 중요한 절차를 테스트해야 합니다.
업데이트 전에 전체 백업을 확보하고, 가능하다면 운영서버와 분리된 테스트 환경에서 검증한 다음 변경하는 것이 안전합니다.
또한 서버 패키지 공급업체가 과거 버전 번호를 유지한 채 보안 수정만 역적용하는 경우도 있습니다. 이런 환경에서는 PHP 버전 문자열만으로 취약 여부를 단정하지 말고 패키지 보안 공지도 확인해야 합니다.
7. PHP 서버 보안 설정 체크리스트
PHP 취약점 보안은 최신 버전으로 업데이트하는 것이 기본이지만, 서버 설정과 운영관리도 함께 점검해야 합니다.
오류 메시지 외부 노출 방지
운영 중인 웹사이트에서 개발용 오류 메시지가 방문자에게 그대로 표시되지 않도록 관리해야 합니다.
일반적인 운영 환경에서는 화면 출력 오류 설정을 비활성화하고, 필요한 오류 정보는 적절히 접근제어된 서버 로그에 기록하는 방법을 사용할 수 있습니다.
파일 업로드 보안
회원이나 방문자가 파일을 업로드할 수 있는 사이트라면 파일 종류, 크기, 저장 위치, 실행 권한 등을 검토해야 합니다.
확장자만 확인하는 방식은 충분하지 않으며, 업로드 디렉터리에서 업로드한 스크립트가 실행되지 않도록 서버 수준에서 제한하는 것이 중요합니다.
추가로 점검할 항목
- PHP와 웹서버의 보안 패치 적용
- 워드프레스 등 웹 애플리케이션 업데이트
- 불필요한 PHP 확장 기능 비활성화
- 웹서버 파일 및 디렉터리 권한 점검
- 관리자 계정에 대한 다중요소 인증 적용
- 데이터베이스 계정의 최소 권한 설정
- HTTPS 적용과 안전한 세션 관리
- 정기적인 백업과 복원 테스트
보안 설정은 PHP 버전과 서버 구성에 따라 달라질 수 있습니다. 모든 사이트에 특정 php.ini 설정 하나를 일률적으로 적용하는 것보다는 실제 서비스 구조를 기준으로 검토해야 합니다.
8. 어떤 PHP 버전을 선택해야 할까?
2026년 10월 기준으로 PHP 8.5와 PHP 8.4는 일반 지원 중이며, PHP 8.3은 보안 지원 단계입니다.
새로운 웹사이트를 구축하거나 기존 서버를 장기적으로 관리하려면 지원기간이 충분히 남아 있는 PHP 8.5 또는 PHP 8.4 계열을 우선 검토하는 것이 합리적입니다.
상황별 판단 기준
| 현재 상황 | 권장 방향 |
|---|---|
| 새 웹사이트 구축 | 호환성이 확인된 PHP 8.5 최신 패치 우선 검토 |
| PHP 8.4 사용 | 최소 8.4.27 보안 수정 반영 확인 |
| PHP 8.3 사용 | 최소 8.3.36 보안 수정 반영, 장기 업그레이드 계획 |
| PHP 8.2 사용 | 긴급 패치 적용 후 2026년 말 이전 상위 버전 이전 계획 |
| PHP 8.1 이하 | 지원되는 버전으로 조속한 마이그레이션 |
PHP 8.5는 2029년 말까지 보안 지원이 예정되어 있으므로 공식 지원기간이 길다는 장점이 있습니다.
다만 사용 중인 CMS와 플러그인, 웹호스팅 제공 환경이 이를 지원하지 않는다면 테스트가 끝난 PHP 8.4 최신 패치 버전이 현실적인 선택일 수 있습니다.
중요한 것은 버전 숫자를 무조건 높이는 일이 아니라, 실제 보안 수정이 반영된 지원 버전을 사용하면서 사이트가 정상적으로 작동하도록 유지하는 것입니다.
자주 묻는 질문
Q1. PHP 8.2는 2026년에 사용하면 안 되나요?
2026년 10월 기준 아직 공식 보안 지원을 받고 있습니다. 그러나 2026년 12월 31일 지원 종료 예정이며, 10월의 중요 보안 수정이 포함된 8.2.35 이상으로 업데이트해야 합니다.
Q2. PHP 8.4라면 보안 취약점 걱정이 없나요?
아닙니다. PHP 8.4 계열에서도 보안 문제가 발견될 수 있습니다. 2026년 10월 21일 공개된 중요 취약점은 PHP 8.4.27에서 수정되었습니다.
Q3. PHP 7.4를 사용 중인데 사이트가 정상이라면 그대로 둬도 되나요?
사이트가 정상 작동하더라도 PHP 7.4는 공식 보안 지원이 종료된 버전입니다. 테스트와 백업을 진행한 뒤 지원되는 버전으로 이전하는 것이 좋습니다.
Q4. PHP 버전을 올리면 홈페이지 속도가 빨라지나요?
버전과 사용 중인 프로그램에 따라 성능이 개선될 수 있지만 모든 사이트에서 속도 향상이 보장되지는 않습니다. 속도와 메모리 사용량은 업데이트 전후 실제 측정이 필요합니다.
핵심 정리
2026년 PHP 취약점 보안 서버 버전을 확인할 때는 주요 버전과 세부 패치 버전을 함께 살펴봐야 합니다.
PHP 8.5, 8.4, 8.3, 8.2는 현재 공식 지원 대상이지만, 2026년 10월 21일 공개된 중요 취약점에 대응하려면 각각의 보안 수정 버전 이상을 사용해야 합니다.
PHP 8.1 이하와 같이 공식 지원이 종료된 버전은 가능한 한 신속하게 지원되는 환경으로 이전할 필요가 있습니다.
현재 버전을 확인한 뒤 백업, 호환성 테스트, 업데이트, 정상 작동 검증 순서로 진행한다면 서비스 중단 위험을 줄이면서 서버 보안을 개선할 수 있습니다.
주요 참고 자료
- PHP 공식 홈페이지 — Supported Versions
- PHP 공식 홈페이지 — 2026년 10월 21일 중요 보안 취약점 권고문
- PHP 공식 홈페이지 — Downloads & Installation Instructions
자료 확인일: 2026년 10월 29일
보안 패치 버전과 권고사항은 이후 업데이트될 수 있으므로 실제 서버 변경 시 최신 공식 공지를 확인해야 합니다.