PHP 보안기술 정보 확인 2026-10-24수정 2026-10-24

PHP 지원 종료 버전 확인, 일정과 보안 점검 순서

PHP는 버전마다 지원 기간이 정해져 있고, 기간이 지나면 새로 발견된 보안 결함이 더 이상 고쳐지지 않습니다. 홈페이지가 오래된 PHP에서 돌아가고 있다면 코드가 멀쩡해 보여도 서버 쪽 위험은 계속 쌓이고 있는 셈입니다.

이 글은 PHP 지원 일정을 읽는 법과, 지원 종료 버전을 쓰고 있을 때의 점검 순서를 정리합니다. 아래 일정은 2026년 10월 23일 기준으로 PHP 사이트에 표시된 내용을 2026년 10월 24일에 확인한 것이므로, 이후 변경될 수 있습니다.

지금 지원되는 PHP 버전

PHP 지원 버전 페이지에 표시된 현재 지원 브랜치는 다음과 같습니다.

각 버전은 2년간 활성 지원(버그와 보안 수정)을 받고, 이어서 2년간 보안 수정만 받습니다. 표의 마지막 열 날짜가 지나면 그 버전은 지원 종료가 됩니다. 8.2는 이미 보안 수정만 받는 단계이고 2026년 12월 31일에 끝납니다. 이 글을 쓰는 시점에서 두 달이 남지 않았으므로 8.2 사용자는 업데이트를 준비해야 합니다.

이미 지원이 끝난 버전

PHP 지원 종료 목록에는 아래와 같이 표시되어 있습니다.

7.4 이하를 쓰고 있다면 4년 가까이 보안 수정이 없었다는 뜻입니다. 워드프레스 요구 사항 페이지도 7.4에서 동작은 하지만 지원 종료 버전이라 보안 위험이 있을 수 있다고 경고하며, 2026년 10월 확인 기준 PHP 8.3 이상을 권장합니다.

일정을 읽는 예시

예를 들어 PHP 8.3을 쓰는 사이트라면 활성 지원은 2025년 12월 31일에 이미 끝났고, 보안 수정은 2027년 12월 31일까지 받습니다. 지금 당장 지원 종료는 아니지만 버그 수정은 더 이상 받지 못하는 단계입니다. 반대로 8.4는 2026년 12월 31일에 활성 지원이 끝나고 보안 지원으로 넘어갑니다.

실무에서는 보안 지원 종료일만 보지 말고, 활성 지원이 끝나는 시점을 업데이트 계획의 첫 신호로 삼는 편이 여유롭습니다. 프로그램이 새 PHP를 지원하기까지 시간이 걸리는 경우가 많아서, 종료 직전에 서두르면 호환성 문제를 확인할 시간이 부족해지기 때문입니다.

지원 종료 버전을 쓰면 생기는 위험

• 새로 발견된 PHP 자체의 보안 결함이 수정되지 않습니다.
• 최신 플러그인과 라이브러리가 해당 버전 지원을 끊어 업데이트를 못 받게 됩니다.
• 보안 점검 도구나 호스팅 업체가 경고를 띄우거나, 업체가 해당 버전 제공을 중단할 수 있습니다.

이런 위험이 있다고 해서 특정 사이트가 이미 감염됐다고 단정할 수는 없습니다. 감염 여부는 별도로 점검해야 하며, 의심 파일을 찾는 방법은 PHP 웹쉘 탐지 글에서 다룹니다.

점검 순서

1. 실제 웹 버전을 확인합니다. 방법은 PHP 버전 확인 글을 따르세요. 터미널의 php -v 값이 웹 버전과 다를 수 있습니다.
2. 확인한 버전의 부 버전(예 8.1)을 위 표와 비교해 종료 여부와 남은 기간을 계산합니다.
3. 종료됐거나 6개월 안에 종료되면 업데이트 일정을 잡습니다. 작업 순서는 PHP 업데이트 글에 정리했습니다.
4. 당장 올릴 수 없다면 임시로 접근 제한, 백업, 로그 확인 같은 보완을 하고 이전 계획을 세웁니다.
5. 올린 뒤에는 서버 전체 점검표(리눅스 서버 보안 점검 체크리스트)로 다른 항목도 함께 살핍니다.

점검할 때 자주 놓치는 곳

사이트가 여러 개이거나 서브도메인이 있으면 도메인마다 PHP 버전이 다를 수 있습니다. 메인 사이트만 올리고 오래된 테스트용 서브도메인이나 이전 사이트가 옛 버전으로 남는 경우가 흔합니다. 도메인별로 버전을 적은 표를 만들어 두면 누락을 막을 수 있습니다. 크론 작업이나 별도 스크립트가 쓰는 CLI 버전도 따로 확인하세요.

임시로 할 수 있는 보완과 한계

버전을 바로 못 올리는 경우에도 파일과 DB 백업을 자주 받고, 쓰지 않는 플러그인을 지우고, 관리자 계정 비밀번호를 점검하는 정도는 할 수 있습니다. 하지만 이런 조치는 PHP 자체의 결함을 막아 주지 않으므로 어디까지나 임시 방편입니다.

배포판이나 호스팅 업체가 자체적으로 보안 패치를 이어서 제공하는 경우도 있습니다. 이때는 업체 안내문에서 어떤 버전을 언제까지 지원하는지 직접 확인해야 하며, 확인되지 않은 채로 안전하다고 가정하지 마세요.