1 min read
“간단한 프롬프트만으로 ‘모든 버그’를 찾아낼 수 있는 모델은 없다.” 지난주 모두가 패치하느라 바빴던 두 웹 취약점을 발견한 보안 기업 Calif의 말입니다. 이 말은 중요한 점을 일깨워 줍니다. AI가 오래된 발견을 실제 공격으로 바꾸는 데 도움을 주었지만, 해결은 여전히 평범한 사람이 평범한 유지보수를 하는 데 달려 있다는 것입니다. 여러분의 사업 웹사이트가 WordPress로 운영된다면, 이번 주 그 평범한 사람은 바로 여러분입니다.
개발자가 아닌 1인 사업자를 위한 차분한 단계별 체크리스트입니다. 30분 정도 시간을 내고, 기술적으로 느껴지는 부분은 AI 어시스턴트의 도움을 받으세요.
PHP2Shell이란 무엇인가, 쉽게 설명하면
PHP는 WordPress와 웹의 매우 큰 부분이 만들어진 프로그래밍 언어입니다. TechCrunch의 취약점 보도에 따르면 외부에 공개된 인터넷의 약 70%가 PHP에 의존합니다. 2026년 10월 21일 PHP Foundation은 CVE-2026-109618과 CVE-2026-109619로 등록된 두 가지 심각한 취약점을 공개하고(CVE는 알려진 보안 결함에 붙는 공개 식별 번호입니다), 같은 날 패치를 배포했습니다(공식 안내는 PHP 뉴스 아카이브에 있습니다). 미국 사이버보안 기관 CISA도 동시에 경보를 발령했습니다.
이번 취약점이 중요한 이유는 비밀번호 없이 원격으로 코드를 실행할 수 있기 때문입니다. 즉 인터넷상의 낯선 사람이 로그인하지 않고, 여러분이 아무것도 클릭하지 않아도 여러분의 웹 서버에서 자신의 명령을 실행할 수 있다는 뜻입니다. Amazon은 패치가 나오기 약 일주일 전에 공격을 감지했고, 그래서 방어하는 쪽에는 10월 17일부터의 흔적을 살펴보라는 권고가 나왔습니다.
다행히 WordPress 자체는 이를 위해 특별한 플러그인 업데이트가 필요하지 않습니다. 해결책은 한 단계 아래, 호스팅 업체가 운영하는 PHP 소프트웨어에 있습니다. 여러분이 할 일은 그 부분이 업데이트됐는지 확인하고, 그 전에 무언가가 들어오지 않았는지 점검하는 것입니다.
1단계: 누가 PHP를 책임지는지 파악하기
이 질문 하나로 여러분이 맡아야 할 작업의 양이 정해집니다.
- 관리형 WordPress 호스팅(서버는 보이지 않고 대시보드만 있는 유형): 호스팅 업체가 PHP를 대신 업데이트합니다. 여러분은 실제로 했는지 확인하면 됩니다.
- cPanel 같은 제어판이 있는 공유 호스팅: 보통 업체가 PHP를 패치하지만, “Select PHP Version”이나 “MultiPHP” 화면에서 직접 버전을 고를 수도 있습니다.
- 직접 운영하는 서버나 VPS(본인이나 프리랜서가 구축한 가상 사설 서버): 누군가 업데이트를 실행하지 않으면 아무도 패치하지 않습니다. 긴급 사안으로 다루세요.
어느 쪽인지 모르겠다면 최근 호스팅 청구서를 확인하세요. “managed WordPress”라고 적혀 있다면 첫 번째 그룹입니다.
2단계: 코드를 건드리지 않고 PHP 버전 확인하기
WordPress 대시보드에서 도구, 사이트 건강, 정보 탭, 서버 순으로 들어가세요. “PHP 버전”이라는 줄이 보일 것입니다. 그 숫자를 적어 두세요. 직접 해석할 필요는 없고, 다음 단계에서 호스팅 업체에 전달하면 됩니다.
3단계: 호스팅 업체에 직접적인 질문 하나 하기(이메일은 AI에게)
대부분의 호스팅 업체가 지난주 공지를 올렸으니 먼저 상태 페이지나 블로그를 확인하세요. 명확한 답을 찾지 못했다면 고객지원에 짧은 메시지를 보내세요. ChatGPT, Claude, Gemini에 붙여 넣을 수 있는 프롬프트입니다.
“호스팅 업체에 보낼 짧고 정중한 지원 요청을 작성해 줘. 내 WordPress 사이트는 [도메인]이야. 사이트 건강에는 PHP 버전 [숫자]로 표시돼. PHP Foundation이 2026년 10월 21일 CVE-2026-109618과 CVE-2026-109619에 대해 배포한 패치가 내 서버에 적용됐는지, 그리고 10월 17일 이후 내 계정에서 악용 징후가 있었는지 서면으로 확인해 달라고 요청해 줘.”
서면으로 예 또는 아니요를 받으세요. “보안을 매우 중요하게 생각합니다”는 답이 아닙니다. 답변은 사업 기록과 함께 보관하세요.
서버를 직접 운영한다면 프롬프트가 달라집니다. 예를 들어 특정 PHP 버전을 쓰는 Ubuntu처럼 여러분의 환경에 맞춰, 최신 PHP 보안 업데이트를 설치하고 웹 서버를 재시작하는 방법을 AI에게 설명해 달라고 하세요. 그리고 무엇이든 실행하기 전에 제공업체의 공식 문서와 대조하세요. AI 어시스턴트는 명령어를 지어낼 수 있고 실제로 그렇게 합니다. 그래서 저희의 AI 환각 입문 가이드에서는 실행하기 전에 모든 것을 확인하라고 권합니다.
4단계: 10월 17일 이후 들어온 것이 있는지 찾기
패치는 문을 닫아 줍니다. 하지만 그 전에 누가 들어왔는지는 알려 주지 않습니다. 다음 점검에 10분을 쓰세요.
- 사용자: 사용자, 모든 사용자 순으로 열고 역할별로 정렬하세요. 모르는 관리자가 있다면 위험 신호입니다.
- 플러그인: 설치한 적 없는 플러그인, 특히 이름이 모호하거나 설명이 없는 것을 찾으세요.
- 최근 변경: 호스팅 업체가 파일 관리자를 제공한다면 메인 폴더에서 10월 17일 이후 수정됐지만 본인이 바꾸지 않은 파일을 찾으세요.
- 무료 검사: Wordfence나 Sucuri 무료 스캐너 같은 보안 플러그인은 핵심 파일을 깨끗한 사본과 비교해 차이를 표시해 줍니다.
- 시크릿 창에서 사이트 보기: 로그아웃한 상태로 홈페이지와 문의 페이지를 방문하세요. 예상치 못한 리디렉션이나 이상한 팝업은 변조의 전형적인 신호입니다.
무언가 이상하다면 아무것도 삭제하기 전에 멈추고 호스팅 업체에 연락하세요. 이런 사태가 생기면 10월 17일 이전의 깨끗한 백업을 무료로 복원해 주는 업체가 많습니다.
5단계: 무서운 부분은 AI로 읽되, 조심스럽게
보안 검사 결과와 서버 로그는 엔지니어를 위해 쓰여 있습니다. 바로 여기서 어시스턴트가 진짜 도움이 됩니다. 검사 요약을 챗봇에 붙여 넣고 이렇게 물어보세요. “각 경고를 쉬운 말로 설명하고, 긴급한 순서로 정리한 뒤, 호스팅 업체에 문의해야 할 항목을 알려 줘.”
안전하게 쓰는 두 가지 규칙이 있습니다.
- 붙여 넣기 전에 비밀 정보를 지우세요. 공유하는 내용에서 비밀번호, 데이터베이스 이름, API 키, 고객 이메일 주소를 삭제하세요.
- 답변은 판결이 아니라 번역으로 받아들이세요. AI는 경고의 의미를 알려 줄 수 있습니다. 사이트가 실제로 침해됐는지는 호스팅 업체나 보안 전문가만 확인할 수 있습니다.
6단계: 깨끗해 보여도 열쇠를 바꾸기
취약점이 알려지기 전부터 공격이 시작됐기 때문에, 예방 차원에서 자격 증명을 교체할 가치가 있습니다.
- WordPress 관리자 비밀번호와 계정이 있는 다른 모든 사람의 비밀번호.
- 애플리케이션 비밀번호(사용자, 프로필에 있음). 도구와 자동화가 사이트에 글을 올릴 때 사용합니다. 더 이상 쓰지 않는 것은 취소하세요.
- 호스팅 계정 비밀번호와, 있다면 FTP 또는 SFTP 비밀번호.
- 결제, 이메일 마케팅, AI 글쓰기 플러그인 등에 저장된 모든 API 키.
이참에 호스팅 계정에 2단계 로그인도 켜 두세요. 5분이면 되고, 가장 흔한 후속 공격을 막아 줍니다.
7단계: 다음번은 지루한 일로 만들기
PHP2Shell이 마지막 대형 웹 취약점은 아닐 것이고, AI 덕분에 공격자는 알려진 결함을 더 빨리 실제 공격으로 바꿀 수 있게 됐습니다. 몇 가지 습관만 있으면 다음 비상 상황도 별일 아닌 일이 됩니다.
- 매일 자동 백업을 서버가 아닌 다른 곳에 저장하고, 최소 2주치 기록을 남기세요.
- 자동 마이너 업데이트를 WordPress 코어와 신뢰할 수 있는 플러그인에 적용하세요.
- AI 정책에 한 줄짜리 보안 항목을 넣어 챗봇에 붙여 넣어도 되는 것과 안 되는 것을 정하세요. 저희의 한 페이지 AI 정책 빠른 팁에서 오후 한나절에 작성하는 방법을 소개합니다.
- 저장해 둔 프롬프트로 어떤 보안 뉴스든 “내 사이트에 어떤 의미이고, 호스팅 업체에 무엇을 물어야 할까?”로 바꿔 보세요.
웹사이트는 여러분의 가게 간판이고, 점점 더 고객이 AI 어시스턴트에게 추천을 요청할 때 AI가 읽는 자료가 되고 있습니다. 해킹된 사이트는 그런 답변에서 조용히 사라질 수 있습니다. 사이트를 건강하게 유지해야 할 이유가 하나 더 생긴 셈이며, 이는 1인 사업자가 AI의 추천을 받는 방법에서도 다뤘습니다.
30분 요약
사이트 건강에서 PHP 버전을 확인하세요. 10월 21일 패치에 대해 호스팅 업체로부터 서면으로 “예”를 받으세요. 10월 17일 이후 새로 생긴 관리자, 모르는 플러그인, 이상한 리디렉션을 찾으세요. 비밀번호와 애플리케이션 비밀번호를 바꾸세요. 백업과 2단계 로그인을 켜세요. 끝입니다.
호스팅 업체에서 벌써 답장이 왔나요? 얼마나 빨리, 무엇이라고 답했는지 댓글로 알려 주세요. 좋은 답변이 어떤 모습인지 다른 1인 사업자에게 도움이 됩니다.
