2026년 10월, PHP에서 무슨 취약점이 발견됐을까?

PHP 공식 개발팀은 2026년 10월 21일 두 가지 중대한 취약점을 해결한 보안 버전을 공개했습니다. 이 취약점은 특정 상황에서 로그인하지 않은 공격자가 서버에서 코드를 실행하도록 악용될 수 있습니다.

PHP 공식 발표는 PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 처리하는 PHP 환경 전반을 점검 대상으로 제시했습니다. 그중 Apache mod_php 환경은 실제 공격 경로가 확인되어 위험도가 특히 높다고 설명했습니다.

영향받는 PHP 버전과 보안 수정 버전

한국인터넷진흥원(KISA)의 보안 권고에 안내된 수정 버전은 아래와 같습니다. 같은 8.x 버전이라도 세부 버전에 따라 조치 여부가 달라집니다.

그누보드 홈페이지도 영향을 받을까?

네, 서버가 취약한 PHP를 사용한다면 영향을 받을 수 있습니다. 그누보드5·영카트로 제작된 홈페이지든 별도 기능을 개발한 기업 홈페이지든 PHP 환경 위에서 동작한다는 점은 같습니다.

그누보드 자체를 최신 버전으로 업데이트하는 것과 PHP 런타임을 패치하는 것은 서로 다른 보안 관리 업무입니다. 따라서 그누보드 테마, 게시판 스킨뿐 아니라 실제 웹 요청을 처리하는 PHP 버전까지 확인해야 합니다.

현재 서버의 PHP 버전은 어떻게 확인할까?

SSH 접속 권한이 있다면 다음 명령어로 먼저 PHP CLI 버전을 확인할 수 있습니다.

$ php -v
PHP 8.3.35 (cli) ...

예시의 8.3.35는 업스트림 보안 수정 버전인 8.3.36보다 낮습니다. 다만 php -v는 CLI 기준이므로 PHP-FPM이나 Apache에서 실제 사용하는 버전과 다를 수 있습니다.

그누보드 홈페이지, 안전하게 업데이트하려면?

취약점이 중대하므로 보안 업데이트는 지체하지 않되, 운영 중인 홈페이지라면 호환성 테스트와 복구 준비를 병행하는 것이 중요합니다.

침해 흔적이 이미 발견된 경우에는 서비스를 무조건 먼저 재시작하는 대신 네트워크 격리와 증거 보존을 우선하고, 이후 패치·복구 절차를 진행해야 합니다.

업데이트 후에도 꼭 확인해야 할 항목

KISA는 2026년 10월 20일 이후의 로그를 최소 점검 범위로 제시했습니다. 보안 패치를 적용했다고 해서 과거에 발생했을 수 있는 침해 흔적이 자동으로 없어지는 것은 아닙니다.

오래된 그누보드 홈페이지라 PHP 업데이트가 어렵다면?

오래된 테마나 맞춤형 관리자 프로그램에는 최신 PHP에서 변경된 문법, 함수, 확장 모듈과의 호환성 문제가 남아 있을 수 있습니다. 이런 경우 프로그램 수정과 테스트가 필요하지만 호환성 문제 때문에 취약한 PHP를 방치하는 것은 위험합니다.

긴급 업데이트가 바로 어렵다면 공식 PHP·KISA 권고에 따른 웹 방화벽, 요청 크기 제한 등 임시 완화 조치를 검토하고 가능한 한 빠르게 패치를 적용해야 합니다. 임시 완화 조치는 완전한 해결책이 아닙니다.

홈페이지 운영자가 확인할 6가지 체크리스트

하나라도 확인하기 어렵다면 서버 관리 업체 또는 유지보수 담당자에게 점검을 요청하는 것이 좋습니다.