보안·관리

구버전 PHP 사이트가 2026년에 특히 위험한 이유

"잘 돌아가는데요?" — 그게 가장 위험한 신호입니다

홈페이지가 멀쩡하게 열린다고 안전한 것은 아닙니다. 구버전 PHP의 문제는 '고장'이 아니라 '열린 문'입니다. 겉으로는 아무 이상이 없는데, 공격자의 목록에는 이미 올라가 있을 수 있습니다.

PHP는 워드프레스를 포함한 전 세계 웹사이트 대부분을 움직이는 프로그래밍 언어입니다. 버전마다 '보안 지원 종료일'이 있고, 그날이 지나면 새로운 취약점이 발견돼도 아무도 고쳐주지 않습니다.

지금 어떤 버전이 위험한가

PHP 7.x와 8.0, 8.1은 이미 보안 지원이 끝났고, 8.2도 2026년 12월 31일에 종료됩니다. 지금 안전하게 쓸 수 있는 건 8.3 이상입니다.

현실은 어떨까요? 보안 분석 기업 Censys가 공개된 워드프레스 사이트 316,500개를 분석한 결과, 70% 이상이 지원 종료된 PHP를 쓰고 있었습니다. 워드프레스는 업데이트하면서도 PHP는 처음 설치한 그대로 두는 경우가 대부분이기 때문입니다.

예전엔 사람이 찾았고, 지금은 AI가 찾습니다

몇 년 전까지 해킹은 '노동'이었습니다. 공격자가 사이트를 하나씩 들여다보고, 버전을 확인하고, 맞는 공격 방법을 찾아야 했습니다. 그래서 작은 회사 홈페이지는 상대적으로 안전했습니다. 굳이 시간을 들일 이유가 없었으니까요.

지금은 다릅니다. AI 기반 스캐닝 봇이 수십만 개의 사이트를 자동으로 훑고, 취약한 버전을 발견하면 그에 맞는 공격 코드까지 만들어냅니다. 사람이 개입하지 않아도 24시간 돌아갑니다.

AI는 회사 크기를 보지 않습니다. 버전만 봅니다.

뚫리면 잃는 것은 사이트가 아닙니다

신뢰. 고객 문의 내역이나 회원 정보가 유출되면, 한 번 떠난 고객은 돌아오지 않습니다.

검색 유입. 구글이 악성코드를 감지하면 검색 결과에 경고를 붙이고, 크롬은 빨간 경고 화면을 띄웁니다. 몇 년간 쌓은 검색 순위가 하룻밤에 무너집니다.

비용. 복구 비용은 예방 비용의 몇 배가 들고, 복구가 끝나도 평판은 남습니다.

30초 자가진단

이 체크리스트는 저장해 두고 1년에 한 번씩 다시 확인하시길 권합니다.

지금 할 수 있는 세 가지

1. PHP 버전부터 확인하세요
   워드프레스 관리자 화면에서 '도구 → 사이트 건강 → 정보' 탭의 '서버' 항목을 펼치면 PHP 버전이 나옵니다. 접속이 어렵다면 호스팅 업체에 "내 PHP 버전이 몇인가요?"라고 물어보셔도 됩니다.
2. 8.2 이하라면 업데이트 일정을 잡으세요
   대부분의 호스팅 패널에서 PHP 버전을 바꿀 수 있습니다. 다만 오래된 플러그인이나 테마는 최신 PHP에서 오류가 날 수 있으니, 반드시 백업과 호환성 점검이 먼저입니다.
3. 손을 댄다면 '업그레이드'를 고려하세요
   PHP 버전만 올리는 건 응급처치입니다. 3년 넘은 사이트라면 디자인, 속도, 모바일, 검색 최적화 모두 2026년 기준과 거리가 있을 가능성이 큽니다. 응급처치 비용과 재구축 비용을 나란히 놓고 비교해 보세요.

참고 자료: PHP 공식 지원 일정(php.net/supported-versions), Censys WordPress 분석(2026), GBHackers 보도

지우지 말고, 기록하고, 막고, 알리는 순서로 움직이는 응급 대응 7단계

이런 신호가 보이면 해킹을 의심하세요

홈페이지 주소를 눌렀는데 도박·광고 페이지로 넘어가거나, 구글 검색 결과에 해킹 가능성을 알리는 문구가 붙었다면 강한 신호입니다. 구글은 해커가 기존 페이지를 바꾸거나 스팸 페이지를 추가했다고 판단할 때 이런 표시를 붙이고, 사이트 운영자가 조치할 때까지 유지합니다.

관리자 화면에 만든 적 없는 계정이 있거나, 검색창에 'site:우리도메인'을 입력했을 때 쓴 적 없는 글이 보이는 경우, 호스팅 업체에서 악성코드나 스팸 발송으로 계정을 정지했다는 연락이 온 경우도 마찬가지입니다.

첫 1시간: 지우지 말고, 막으세요

가장 흔한 실수는 이상한 파일부터 지우는 것입니다. 그러면 어디로 들어왔는지 알 수 없게 되고, 같은 구멍으로 다시 뚫립니다. 원인 분석과 기관 신고에도 그 흔적이 필요합니다.

그래서 순서는 보존 → 차단 → 복구 → 알림입니다. 화면과 파일을 그대로 남겨 둔 다음, 침입자가 다시 들어오지 못하게 모든 열쇠를 바꾸고, 방문자에게 피해가 번지지 않게 문을 잠급니다.

해킹 대응의 첫 단계는 청소가 아니라 기록입니다.

응급 대응 7단계

1. 지우지 말고 증거부터 보존
   이상한 화면을 캡처하고, 감염된 상태 그대로 파일과 데이터베이스(DB, 회원·게시글이 저장된 곳) 전체를 백업해 따로 보관합니다. 호스팅 업체에 접속 기록(로그)도 요청하세요.
2. 모든 비밀번호 교체, 접속 세션 끊기
   사이트 관리자뿐 아니라 호스팅 계정, FTP(파일 전송 계정), DB, 연결된 이메일까지 바꿉니다. 로그인 상태로 남아 있는 세션도 모두 종료하고, 모르는 관리자 계정은 기록해 둔 뒤 삭제합니다. 가능하면 감염되지 않은 다른 기기에서 진행하세요.
3. 점검 모드로 전환
   방문자가 악성 페이지로 넘어가거나 악성코드를 받지 않도록 사이트를 잠시 닫고 안내 화면을 띄웁니다.
4. 깨끗한 백업으로 복구, 없으면 정리
   감염 이전 시점의 백업이 있다면 그것으로 되돌립니다. 백업이 없거나 감염 시점을 모르면 숨겨진 악성 파일까지 찾아야 하므로 전문가 도움을 받는 편이 안전합니다.
5. 코어·플러그인·테마·PHP 업데이트
   들어온 구멍을 막지 않으면 다시 감염될 가능성이 높습니다. 쓰지 않는 플러그인과 테마는 지웁니다.
6. 구글 서치 콘솔에서 검토 요청
   서치 콘솔의 '보안 문제' 보고서를 확인하고, 사이트 전체가 깨끗해진 뒤 검토를 요청합니다. 너무 일찍 요청하면 경고 기간이 오히려 길어질 수 있습니다.
7. 신고·통지 대상인지 판단
   회원 정보나 문의 내역이 새어 나갔을 수 있다면 아래 기한을 확인하세요. 판단이 어렵다면 국번 없이 118(KISA 상담)로 문의할 수 있습니다.

신고와 통지에는 기한이 있습니다

개인정보 유출 신고 72시간. 개인정보보호위원회에 따르면 해킹 같은 외부 불법 접근으로 유출됐거나, 1천 명 이상 또는 민감정보·고유식별정보가 유출됐다면 72시간 안에 개인정보위나 KISA에 신고해야 합니다.

이용자 통지 72시간. 정보가 새어 나간 이용자에게도 72시간 안에 알려야 합니다. 2026년 9월 11일 시행된 개정법은 유출이 확정되지 않았더라도 가능성이 객관적으로 높으면 통지하도록 했고, 손해배상 청구와 분쟁조정 방법도 함께 안내하도록 했습니다.

침해사고 신고 24시간. 정보통신망법상 정보통신서비스 제공자는 침해사고를 안 때부터 24시간 안에 과기정통부나 KISA에 신고해야 합니다(2024년 8월 시행). 영리 목적으로 홈페이지를 운영한다면 해당될 수 있으니 확인이 필요합니다.

이 내용은 일반 정보이며 법률 자문이 아닙니다. 실제 적용 여부는 개인정보보호위원회, KISA 또는 법률 전문가에게 확인하세요.

구글 경고는 언제 사라지나

구글 안내에 따르면 검토에 걸리는 시간은 문제 유형마다 다릅니다. 스팸이 심어진 해킹은 수 주까지, 악성코드는 며칠, 피싱은 하루 정도가 걸릴 수 있습니다. 깨끗하다고 확인되면 브라우저와 검색 경고는 72시간 안에 사라집니다.

지금 할 수 있는 세 가지

1. 백업이 실제로 되는지 확인하세요
   백업 설정이 켜져 있어도 복원해 본 적이 없다면 믿을 수 없습니다. 보관 위치와 마지막 백업 날짜를 확인하세요.
2. 관리자 계정에 2단계 인증을 켜세요
   사이트 관리자, 호스팅, 도메인 계정 모두 비밀번호만으로 들어갈 수 없게 만드는 것이 가장 싸고 확실한 예방책입니다.
3. 비상 연락처를 한곳에 적어 두세요
   호스팅 업체 고객센터, 제작사, 개인정보 담당자, KISA 118을 한 장에 정리해 두면 사고 당일 시간을 크게 아낄 수 있습니다.

참고 자료: 개인정보보호위원회 '개인정보 유출 신고' 안내, 머니투데이 개정 개인정보보호법 시행 보도(2026), 로톡 유출 통지·신고 해설(2026), 보안뉴스 정보통신망법 개정안 시행 보도(2024), KISA 보호나라 침해사고 대응 안내, Google 검색 고객센터 '해킹되었을 수 있음' 안내, web.dev 'Request a review'