trydabble
보안 업데이트 전체

패치패드 / PHP

PHP 버전을 확인하고 2026년 10월 수정을 적용하는 방법

마지막 확인 (KST)

PHP는 워드프레스를 비롯한 많은 사이트 아래에서 돌아가고, 보통 호스팅 업체가 관리합니다. 사이트가 쓰는 버전은 명령줄의 버전과 다를 수 있고, 호스팅 업체가 번호를 바꾸지 않고 PHP를 고칠 수도 있습니다.

워드프레스 사이트: 이번에는 PHP 업데이트가 필요합니다

워드프레스를 쓰신다면: WordPress.org는 이번 PHP 수정에 대해 워드프레스 업데이트는 필요 없고 PHP를 업데이트하면 된다고 안내했습니다. 워드프레스에서는 도구 → 사이트 건강 → 정보 → 서버에서 PHP 버전을 볼 수 있습니다.

워드프레스 페이지 보기WordPress.org 안내 (2026-10-21)공지일

이 페이지는 어떤 사이트도 검사하지 않습니다. 내 사이트를 직접 확인하는 방법을 설명합니다.

무슨 일이 있었나요

2026년 10월 21일(한국 시간 23시), PHP는 PHP 자체의 치명적인 버그 두 개를 고친 릴리스를 냈습니다. 위에서 어떤 앱이 돌아가든(워드프레스 포함) PHP-FPM, 아파치 mod_php, php-cgi, FrankenPHP, LiteSpeed에 영향을 줍니다. PHP의 말: “모든 PHP 사용자에게 즉시 업데이트할 것을 강력히 권합니다.” 흔히 ‘PHP2Shell’이라고 불리지만, 이는 비공식 별칭이며 PHP는 이 이름을 쓰지 않습니다. www.php.net

최근 보안 공지

내 버전이 왼쪽 번호로 시작하면, 오른쪽 버전 이상이어야 합니다.

공지등급 (제조사)수정된 버전
PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 (2026년 10월)CVE-2026-109618, CVE-2026-109619제조사 공지www.php.net함께 보기: PHP 보안 공지 GHSA-w8hw-w9fx-j79w, PHP 보안 공지 GHSA-6wmf-4rv5-p3rp, ChangeLog-8.php, CVE-2026-109618 (cve.org), CVE-2026-109619 (cve.org)공지일2026-10-21마지막 확인2026-10-22 (KST)등급 (제조사)

치명적 (Critical)

CVSS v4.0 9.2

수정된 버전
  • 8.5:8.5.12이상
  • 8.4:8.4.27이상
  • 8.3:8.3.36이상
  • 8.2:8.2.35이상

8.1 이하는 PHP의 공식 릴리스가 없습니다. 배포판과 장기 지원 업체가 자체 수정을 낼 수 있습니다. 소스에서 직접 빌드하는 분들을 위해 PHP 보안 팀이 PHP 7.4, 8.0, 8.1용 최소 소스 백포트를 제공했습니다. PHP 8.2는 2026-12-31에 지원이 끝납니다.

PHP 8.5.11, 8.4.26, 8.3.35, 8.2.34 (2026년 9월)CVE-2026-91768, CVE-2025-1218, CVE-2026-91769, CVE-2026-91767, CVE-2026-6103, CVE-2026-91765, CVE-2025-14181, CVE-2026-92842, CVE-2026-91766, CVE-2026-93682, CVE-2026-17545앞선 보안 릴리스입니다. 2026년 10월 릴리스에도 이 수정이 들어 있습니다.제조사 공지www.php.net함께 보기: ChangeLog-8.php공지일2026-09-24마지막 확인2026-10-22 (KST)등급 (제조사)

제조사 페이지 참고

PHP: ‘보안 릴리스’

수정된 버전
  • 8.5:8.5.11이상
  • 8.4:8.4.26이상
  • 8.3:8.3.35이상
  • 8.2:8.2.34이상

내 버전 확인하는 방법

호스팅 관리 화면

  • cPanel(‘Select PHP Version’, MultiPHP Manager), Plesk 같은 호스팅 관리 화면은 사이트별 PHP 버전을 보여 줍니다.

관리자 화면이나 프로젝트 파일

  • 워드프레스 사이트라면 도구 → 사이트 건강 → 정보 → 서버에서 사이트가 실제로 쓰는 PHP 버전을 볼 수 있습니다.

명령줄

  • 서버에서 실행합니다. 명령줄과 웹 서버가 서로 다른 PHP를 쓸 수 있으니, 사이트의 버전은 관리 화면이나 사이트 건강을 기준으로 보세요.

    php -v

  • 임시 phpinfo() 페이지로도 버전을 볼 수 있습니다. 만들었다면 확인 직후 지우세요. 서버 정보를 누구에게나 보여 줍니다.

업데이트하는 방법

호스팅 업체나 플랫폼이 관리하는 경우

  • 관리형·공유 호스팅이라면 호스팅 업체에 물어보세요. PHP에 따르면 리눅스 배포판과 장기 지원 업체는 패치를 미리 받았습니다. www.php.net

  • 배포판은 버전 번호를 바꾸지 않고 PHP를 고칠 수 있습니다. 번호가 오래돼 보이면 호스팅 업체에 묻거나, 제공 업체의 보안 공지나 패키지 변경 기록을 확인하세요.

직접 서버를 운영하는 경우

  • 직접 운영한다면 배포판의 업데이트된 PHP 패키지를 설치한 뒤, 모든 PHP 프로세스(PHP-FPM, Apache)를 재시작해야 수정이 적용됩니다.

  • 컨테이너라면 수정된 PHP가 든 이미지를 받거나 다시 빌드하고 컨테이너를 새로 만듭니다.

  • 자원봉사로 운영되는 Remi 저장소를 쓴다면: PHP는 2026-10-21에 그 저장소가 당일 업데이트를 내지 못한다고 알리고, 배포판 패키지나 소스 빌드를 권했습니다. www.php.net

아직 업데이트할 수 없다면

PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 (2026년 10월)

PHP의 말: “완전한 완화책은 없으며, 업데이트만이 안전한 선택입니다.” PHP는 일부 경로를 줄이지만 “설치를 안전하게 만들지는 않는” 설정도 함께 적었습니다. 서버를 운영하는 사람을 위한 내용입니다. www.php.net

서버 관리자에게 전달할 내용
  • memory_limit=-1을 덮어쓸 수 없게 설정합니다.
  • post_max_size를 낮게 둡니다.
  • 메모리는 컨테이너나 cgroup 제한으로 막습니다(RLIMIT_AS, RLIMIT_DATA가 아님).
  • session.upload_progress.enabled=0으로 두고 PHP 프로세스를 재시작합니다.
  • PHP 8.5라면 fatal_error_backtraces=0으로 둡니다.

호스팅 업체에 물어볼 말

아래 글을 복사해 [ ] 부분을 채운 뒤, 호스팅 업체의 고객 지원 창구로 보내세요.

안녕하세요. 제 사이트 [도메인]는 귀사 호스팅을 쓰고 있습니다. PHP가 2026년 10월 21일 보안 수정(8.5.12, 8.4.27, 8.3.36, 8.2.35, CVE-2026-109618·CVE-2026-109619)을 냈습니다. 제 사이트가 쓰는 PHP 버전과, 배포판 백포트를 포함해 이 수정이 이미 적용됐는지 알려 주실 수 있을까요? 아직이라면 언제 업데이트되는지, PHP 프로세스 재시작이 필요한지도 궁금합니다. 감사합니다.

제조사 출처

마지막 확인 (KST)