스페인의 수많은 기업과 개인의 디지털 생활은 대부분 구식 프로그래밍 언어로 작성된 웹사이트에 의존하고 있습니다. 특히 그 언어가 구형 PHP 버전 일 경우 , 비밀번호 도용, 데이터베이스 무단 접근, 중요 정보 탈취 등 심각한 위험이 발생할 수 있습니다.
업계에서 사용하는 계산에 따르면 우려스러운 상황이 드러납니다. 스페인에 등록된 웹사이트의 최대 40%가 이미 취약한 상태이며 , 이 수치는 2026년 초까지 60%로 급증할 수 있습니다. 웹사이트를 비즈니스 쇼케이스, 온라인 스토어 또는 관리 도구로 사용하는 기업에게 이러한 급증은 결코 가볍게 볼 수 없는 상황 변화를 의미합니다.
구식 PHP: 핵심 언어가 보안 문제가 되는 이유
대부분의 동적 웹사이트는 정기적으로 업데이트되는 오픈 소스 언어인 PHP 에 의존합니다 . 새 버전이 출시될 때마다 성능 향상과 더불어 발견된 취약점을 수정하는 패치가 포함됩니다. 문제는 이러한 새로운 기능들이 업데이트되지 않아 구버전 PHP가 남아 있는 기존 설치 환경과 공존할 때 발생합니다.
PHP 생태계는 매우 명확한 수명 주기를 가지고 있습니다. 새로운 버전이 출시되면 (예: PHP 8.4에서 PHP 8.5로 업그레이드), 기존 버전은 최종 지원 단계 또는 "수명 종료(End of Life, EOL)"에 들어갑니다. 그 시점부터는 보안 패치가 더 이상 제공되지 않으므로, 알려진 취약점은 방법을 아는 사람이라면 누구나 악용할 수 있는 상태로 남아 있게 됩니다.
호스팅 업계에서는 문제가 언어 자체에 있는 것이 아니라 웹사이트 소유자들의 습관에 있다고 주장합니다. 웹사이트 소유자들이 설치된 PHP 버전을 확인하지 않거나 최신 버전으로 업데이트하지 않는 경우가 많다는 것입니다. 그 결과 수천 개의 웹사이트가 보안 패치조차 받지 못하는 구버전에서 여전히 운영되고 있습니다.
웹사이트가 오래된 PHP 버전을 사용하여 계속 운영될 경우, 서버의 취약점이 더욱 드러나게 되어 사이버 범죄자들이 알려진 약점을 악용하여 개인 데이터, 고객 정보 또는 통합 결제 시스템에 접근하기가 더 쉬워집니다. 전문가들에 따르면, 이러한 관리 소홀과 구식 기술의 결합은 대규모 공격에 최적의 환경을 조성합니다.
스페인: 최대 200만 개 웹사이트 조사 대상에 올라
스페인에서는 현재까지 확보된 데이터에 따르면 등록된 웹사이트 수가 1,1만 개에서 3만 개에 이릅니다 . 이 중 약 800.000만 개에서 1,2만 개 웹사이트가 구형 PHP 버전을 사용함으로써 명백한 취약점을 드러내고 있는 것으로 추정됩니다. 즉, 전체 웹사이트의 약 40%가 자동화된 공격에 비교적 쉽게 노출될 수 있다는 뜻입니다.
달력에 빨간색으로 동그라미 친 날짜, 2026년 1월 1일로 상황은 더욱 복잡해집니다 . 이 날부터 여러 구형 PHP 버전에 대한 지원이 종료되어 상당수의 활성 설치 환경이 공식적인 지원 없이 운영되게 됩니다. 웹 호스팅 업계 관계자들은 아무런 조치가 취해지지 않을 경우 스페인 웹사이트의 50~60%가 그 이후로 보호받지 못하게 될 것으로 추산하고 있습니다.
절대적인 수치로 환산하면, 이는 미국 내에서 약 200만 개의 활성 웹사이트가 구형 PHP를 사용하고 있다는 것을 의미합니다 . 이러한 사이트 중 상당수는 기업 매장, 온라인 쇼핑몰 또는 제3자 데이터를 관리하는 플랫폼이므로, 보안 침해는 단순한 기술적 문제를 넘어 수천 명의 사용자 개인정보에 심각한 영향을 미칠 수 있습니다.
웹사이트 로딩 실패나 오류 표시 이상의 위험이 존재합니다. 구형 PHP 버전을 사용하면 자격 증명 도용, 무단 데이터베이스 접근 , 랜섬웨어 공격 또는 웹사이트 조작을 통한 신원 도용의 위험이 커집니다.
스페인만의 문제가 아닙니다. 전 세계 웹사이트의 40%가 위험에 처해 있습니다.
스페인에서 벌어지고 있는 일은 예외적인 사례도 아니고 고립된 사건도 아닙니다. 전 세계적으로 활성 웹사이트 수는 1.100억에서 1.400억 개에 달하는 것으로 추산됩니다 . 그리고 이 수치는 계속 증가하고 있습니다. 분석 플랫폼 Siteefy에 따르면 매초 세 개의 새로운 웹페이지가 생성되고 있으며 , 이는 기술적 취약점이 매우 빠르게 확산될 수 있음을 의미합니다.
이러한 맥락에서 여러 분석에 따르면 전 세계 웹사이트의 약 40%가 심각한 보안 취약점을 가지고 있으며 , 이는 주로 오래된 PHP 버전을 사용하기 때문입니다. 새로운 버전이 출시되더라도 많은 관리자가 업데이트를 하지 않고 오래된 환경을 계속 운영하는 패턴이 반복됩니다.
이러한 시나리오는 인터넷상에 일종의 "회색 지대"를 만들어냅니다. 수백만 개의 웹페이지가 정상적으로 작동하는 것처럼 보이지만, 실제로는 지원되지 않는 소프트웨어로 운영되고 있는 것입니다 . 새로운 취약점이 발견되고 패치가 적용되지 않으면서, 이 회색 지대는 공격자들에게 점점 더 손쉬운 공격 대상이 됩니다.
전 세계적인 상황은 위협 방지 작업을 더욱 어렵게 만듭니다. 전 세계 어디에서든 오래된 웹사이트는 다른 사이트를 공격 하거나, 악성 소프트웨어를 배포하거나, 피싱 캠페인을 벌이는 플랫폼으로 악용될 수 있습니다. 따라서 PHP를 최신 상태로 유지하는 것은 웹사이트 자체를 보호할 뿐만 아니라 전체 디지털 생태계의 위험을 줄이는 데에도 도움이 됩니다.
오래된 PHP 버전을 계속 사용하는 것의 문제점은 무엇이며, 업그레이드가 시급한 이유는 무엇일까요?
구버전 PHP를 계속 사용하는 것은 공식 패치가 제공하는 안전망을 포기하는 것과 마찬가지입니다 . 지원이 종료되면 새로 발견되는 취약점은 더 이상 프로젝트에서 다루어지지 않으므로, 관리자가 업데이트를 하지 않으면 사이버 범죄자들이 수년간 공개된 취약점을 악용할 수 있습니다.
전문가들은 이러한 상황을 업데이트가 중단된 운영 체제에 비유합니다. 구형 윈도우를 사용하는 컴퓨터가 바이러스 감염 및 공격에 더욱 취약해지는 것처럼, PHP 지원이 중단된 웹 서버는 네트워크에서 알려진 취약점을 찾는 봇과 자동화 도구의 주요 공격 대상이 됩니다.
그 결과는 웹사이트의 외관을 단순히 훼손 하거나 변경하는 것부터 결제 정보 도용, 개인 데이터 유출, 해킹된 서버를 이용한 스팸 발송 또는 분산 서비스 거부(DDoS) 공격과 같은 훨씬 심각한 사건에 이르기까지 다양합니다. 이 모든 것은 웹사이트를 운영하는 회사나 전문가의 평판에 직접적인 영향을 미칩니다.
온라인 쇼핑몰, 예약 플랫폼, 고객 전용 공간 등 특히 민감한 정보를 다루는 프로젝트의 경우, PHP 구버전을 유지하는 것은 데이터 보호 관련 법적 의무와 충돌할 수 있습니다. 업데이트 부족으로 인한 보안 사고는 기술적인 문제뿐 아니라 법적인 문제로 이어질 수 있습니다.
PHP 8.5가 출시되었습니다. 변경 사항과 웹사이트 소유자가 해야 할 일은 무엇일까요?
PHP 최신 버전인 8.5는 11월 20일부터 사용 가능하며 스페인을 비롯한 유럽 전역의 수많은 호스팅 업체에서 이미 배포되었습니다. 많은 경우, 새로운 PHP 엔진은 서버 네트워크 전체에 적용되어 사용자가 제어판에서 선택할 수 있습니다.
업데이트는 자동으로 이루어지지 않습니다. 웹사이트 소유자는 자신의 사이트에서 사용할 PHP 버전을 직접 선택해야 합니다 . 일반적으로 호스팅 제공업체는 제어판에 PHP 버전 선택 도구를 제공하여 웹사이트(워드프레스, 플러그인, 테마 및 기타 구성 요소)가 최신 버전인 경우 몇 번의 클릭만으로 이전 버전에서 지원되는 버전으로 전환할 수 있도록 합니다.
대부분의 잘 관리된 설치 환경에서는 PHP 8.5와 같은 최신 버전으로 업그레이드해도 심각한 오류가 발생하지 않습니다 . 하지만 업그레이드 전에 백업을 생성하고 템플릿 및 확장 프로그램의 호환성을 확인하는 것이 항상 권장됩니다. 일부 서비스 제공업체는 시간이나 전문 지식이 부족한 사용자를 위해 기술 지원 서비스를 제공하기도 합니다.
업계의 일반적인 권장 사항은 명확합니다. 지원 종료 시점까지 기다리지 마십시오 . 미리 업데이트하면 통제된 환경에서 잠재적인 비호환성을 감지할 수 있으며, 특정 PHP 버전의 공식 보안 지원이 종료되는 시점에 웹사이트가 취약해질 위험을 줄일 수 있습니다.
스페인을 비롯한 전 세계 수많은 웹사이트가 구형 PHP 버전을 사용하고 있는 상황에서, 다가오는 주요 지원 종료일은 중요한 전환점이 될 것입니다. 데이터에 따르면 대부분의 공격은 구형 시스템을 대상으로 하므로 , 지금 조치를 취하는 것은 단순히 기술적인 문제일 뿐만 아니라 일상적인 운영, 고객 신뢰, 그리고 디지털 비즈니스의 지속성을 보호하는 방법이기도 합니다.