무슨 일이 있었나
2026년 10월 21일, 일본의 다카이치 사나에 총리가 직접 기업과 기관에 "공개된 웹사이트가 PHP를 사용하는지 확인하고, 보안 패치를 적용할 준비를 하라"고 요청했습니다. 패치를 바로 적용하기 어렵다면 사이트를 일시적으로 내리는 것도 위험을 줄이는 방법이라고 덧붙였습니다. 같은 날 미국 FBI·NSA와 영국 국가사이버보안센터(NCSC)도 경고를 냈습니다.
원인은 PHP 자체에서 발견된 두 건의 치명적 취약점(CVE-2026-109618, CVE-2026-109619)입니다. PHP 보안 공지에 따르면 두 취약점 모두 공격자가 서버에서 원하는 코드를 실행할 수 있는 수준이며, 심각도는 10점 만점에 9.2점입니다. 일본에서는 ANA, JR 서일본, MUFG 등이 일부 웹페이지와 서비스를 임시 중단했고, 유럽 여러 나라의 정부 기관도 패치를 위해 사이트를 내렸습니다.
PHP는 전 세계 웹사이트의 상당수가 사용하는 언어입니다. 한국에서도 웹호스팅에 올린 워드프레스, 그누보드, 영카트 같은 사이트 대부분이 PHP로 동작합니다. 남의 나라 이야기가 아닙니다.
우리 홈페이지도 해당될까? — 5분 자가 점검
홈페이지를 직접 만들지 않으셨다면 어떤 기술로 동작하는지 모르시는 게 당연합니다. 아래 항목을 순서대로 확인해 보세요. 개발 지식이 없어도 확인할 수 있는 것들입니다.
- 주소에 ".php"가 보이나요? — 홈페이지 여기저기를 눌러 보며 주소창을 확인하세요.
index.php,board.php처럼 .php로 끝나는 주소가 보이면 PHP 사이트입니다. - 관리자 화면 주소가 어떻게 되나요? —
/wp-admin(워드프레스)이나/adm(그누보드·영카트)로 관리자 화면에 들어가신다면 PHP 기반입니다. - 어느 호스팅 업체를 쓰고 있나요? — 카페24·가비아 등의 "웹호스팅" 결제 내역이나 계약 메일이 있다면 PHP 환경일 가능성이 높습니다. (카페24 쇼핑몰처럼 업체가 통째로 운영하는 서비스는 업체가 직접 패치합니다.)
- 호스팅 업체 공지를 확인하셨나요? — 이번 PHP 보안 패치를 언제 적용했는지, 또는 적용할 예정인지 공지나 고객센터를 통해 확인하세요.
- PHP 버전을 알고 계신가요? — 호스팅 관리 화면에서 확인할 수 있습니다. 7.x, 8.0, 8.1처럼 공식 지원이 이미 끝난 버전이라면 이번 패치를 받지 못할 수 있습니다.
- 마지막으로 누가, 언제 업데이트했는지 아시나요? — 사이트 프로그램과 플러그인을 몇 년째 아무도 건드리지 않았다면, 이번 PHP 문제와 별개로 이미 알려진 취약점이 쌓여 있을 수 있습니다.
- 백업이 있고, 실제로 복원해 본 적이 있나요? — 문제가 생겼을 때 되돌릴 수 있는지가 피해 규모를 결정합니다.
1~3번 중 하나라도 해당된다면 4~7번을 꼭 확인하세요. 어디서부터 봐야 할지 모르시겠다면 주소만 알려주셔도 저희가 무료로 함께 점검해 드립니다.
PHP를 안 쓰면 안전할까?
솔직하게 말씀드리겠습니다. 이번 PHP 취약점과는 무관하지만, "최신 기술로 만들었으니 안전하다"는 말은 사실이 아닙니다.
JView Lab은 홈페이지와 플랫폼을 Next.js로 만들어 Vercel과 Cloudflare에서 운영합니다. PHP 뉴스가 나온 같은 주, 저희가 운영하는 사이트들을 점검해 보니 대부분이 사용하는 Next.js 버전에도 공개된 치명적 취약점이 있었습니다. 일부는 배포 도구의 버전 제한 때문에 몇 달째 업데이트되지 못한 상태였습니다.
저희는 하루 동안 15개 사이트를 업데이트했습니다. 그리고 그중 한 곳은 업데이트 직후 오류가 나서 약 15분간 서비스가 중단됐습니다. 배포 직후 점검에서 바로 발견해 이전 버전으로 되돌렸고, 원인(클라우드 연결 도구의 버전 호환성)을 찾아 수정한 뒤, 실제 서비스와 분리된 환경에서 먼저 확인하고 다시 배포했습니다.
이 경험이 말해주는 것은 하나입니다. 안전은 어떤 기술을 쓰느냐보다 누군가가 꾸준히 지켜보고, 업데이트하고, 업데이트 후에 확인하느냐에서 나옵니다.
유지보수가 곧 보안인 이유
홈페이지는 한 번 인쇄하면 끝나는 브로슈어가 아니라, 인터넷에 연결된 채 매일 자동화된 공격을 받는 소프트웨어입니다. 제대로 된 유지보수에는 이런 일들이 포함됩니다.
- 보안 공지 모니터링 — 사용 중인 기술에 취약점이 발표되면 바로 확인
- 업데이트와 업데이트 후 확인 — 업데이트 자체보다, 업데이트 후 사이트가 정상인지 확인하는 단계가 더 중요할 때가 많습니다
- 백업과 복구 계획 — 문제가 생겨도 빠르게 되돌릴 수 있는 상태 유지
- 콘텐츠와 검색 노출 관리 — 보안만이 아니라, 사이트가 계속 고객에게 발견되고 쓸모 있게 유지되는 것까지
저희가 레거시 PHP 호스팅에서 클라우드로 사이트를 옮기며 겪은 시행착오는 클라우드 이전 실패에서 배운 것에 따로 정리해 두었습니다. 무조건 새로 만드는 것이 답은 아니라는 점도 함께 적었습니다.
자주 묻는 질문
카페24 같은 웹호스팅을 쓰면 PHP 보안 패치는 누가 하나요?
PHP 자체(서버 프로그램)는 보통 호스팅 업체가 업데이트합니다. 하지만 워드프레스·그누보드 같은 사이트 프로그램과 플러그인, 그리고 관리 화면에서 고르는 PHP 버전은 사이트 운영자의 몫인 경우가 많습니다. 호스팅 업체 공지로 패치 적용 여부를 확인하고, 사이트 프로그램은 별도로 점검해야 합니다.
당장 패치가 어렵다면 어떻게 해야 하나요?
일본 정부는 패치를 바로 적용하기 어렵다면 사이트를 일시적으로 내리는 것도 위험을 줄이는 방법이라고 안내했습니다. 최소한 호스팅 업체에 패치 일정을 문의하고, 백업을 확보해 두세요.
다음 단계
홈페이지가 어떤 기술로 동작하는지, 이번 PHP 문제에 해당되는지 확인이 필요하시다면 주소만 알려주세요. 무료로 점검해 드리고, 해당되지 않는다면 그렇다고 말씀드리겠습니다. 꾸준한 관리가 필요하시다면 통합 관리 서비스를 확인하시거나 문의해 주세요.