워드프레스·호스팅 사이트, 자동 업데이트 켜고 보안 점검하는 9단계
PHP 엔진 자체의 원격 코드 실행 취약점(PHP2Shell)이 공개된 만큼, 작은 사이트도 업데이트 설정을 한 번은 점검해 둬야 합니다. 워드프레스 공식 문서에 나온 설정법과 AI에게 물어볼 프롬프트를 함께 정리했습니다.
필요한 것워드프레스 관리자 계정, 호스팅 관리 화면, ChatGPT·클로드·제미나이 아무 AI
걸리는 시간15분
왜 필요한가요위즈(Wiz)가 10월 21일 공개한 PHP2Shell은 로그인 없이 원격으로 코드를 실행할 수 있는 PHP 자체의 결함입니다. 위즈는 워드프레스·드루팔·줌라에서 공격을 시연했지만, 결함은 이 앱들 아래에서 돌아가는 PHP에 있다고 밝혔습니다. 그래서 앱만 업데이트해서는 문제가 해결되지 않습니다.
2026년 10월 21일 위즈 리서치는 PHP 엔진에서 인증 없이 원격으로 코드를 실행할 수 있는 취약점 두 건(PHP2Shell)을 공개했습니다. PHP 프로젝트는 같은 날 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 내고 모든 사용자에게 즉시 업데이트를 권고했습니다. 위즈는 PHP가 전 세계 웹사이트의 70%를 움직인다고 밝혔습니다(위즈 발표 기준). 개인 블로그나 작은 쇼핑몰은 대개 호스팅 업체가 PHP를 관리하지만, PHP 버전 선택과 워드프레스·플러그인·테마 업데이트는 운영자가 직접 챙겨야 하는 경우가 많습니다. 아래에 이번에 한 번 해 두면 다음 취약점이 나와도 덜 바빠지는 설정과 점검 순서를 정리했습니다.
01
호스팅 공지·보안 메일을 AI에게 읽히기
호스팅 업체가 보낸 PHP 보안 공지를 붙여 넣고, 업체가 할 일과 내가 할 일을 나누게 하는 프롬프트입니다.
이렇게 쓰세요공지 전문을 복사해 붙여 넣습니다. 계정 아이디, 서버 주소 같은 정보는 지우고 넣습니다. AI 답은 정리용으로만 쓰고, 최종 판단은 공지 원문과 업체 고객센터로 확인합니다.
복사해서 쓰는 프롬프트
아래는 내 웹 호스팅 업체가 보낸 보안 공지야. 내 사이트는 [워드프레스 / 그누보드 / 직접 만든 PHP 사이트]이고 [공유 호스팅 / VPS / 클라우드 서버]를 쓰고 있어. 1) 업체가 이미 조치했거나 조치할 일과 내가 직접 해야 할 일을 나눠서 표로 정리해 줘. 2) 내가 할 일은 순서대로, 각 단계에서 어느 관리 화면으로 가야 하는지 일반적인 이름으로 알려줘. 3) 공지만으로 판단이 안 되는 부분은 업체에 물어볼 질문으로 바꿔 줘. 공지: [공지 붙여 넣기]
넣는 것 (예시)
(가상의 공지) 10월 21일 공개된 PHP 보안 취약점과 관련해 당사는 10월 23일까지 모든 공유 서버의 PHP를 패치합니다. PHP 7.4 이하를 쓰는 고객은 관리 화면에서 직접 8.2 이상으로 변경해야 합니다.
나오는 것 (예시)
업체가 할 일: 공유 서버 PHP 패치(10월 23일까지) 내가 할 일: ① 내 사이트 PHP 버전 확인 ② 7.4 이하라면 백업 후 8.2 이상으로 변경 ③ 변경 뒤 로그인·글쓰기·결제 화면 확인 업체에 물을 것: 8.0·8.1 사용자도 패치 대상인가?
02
내 사이트의 PHP 버전 확인하고 올리기
PHP2Shell 패치가 들어간 버전인지 확인하는 단계입니다. 워드프레스 업데이트와 별개로 PHP 자체를 올려야 합니다.
이렇게 쓰세요호스팅 관리 화면의 PHP 설정 메뉴(업체마다 이름이 다릅니다)에서 현재 버전을 확인합니다. 찾기 어려우면 고객센터에 '현재 PHP 버전과 10월 21일 보안 패치 적용 여부'를 묻습니다. PHP 공식 발표 기준 패치 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35이고, PHP 8.1 이하는 PHP 프로젝트의 업데이트가 더 이상 나오지 않습니다. 리눅스 배포판이나 호스팅 업체 패키지는 버전 번호가 다르게 보일 수 있으니 업체 공지로 패치 여부를 확인합니다. PHP 8.2는 2026년 12월 31일 지원이 끝나므로 이번에 더 높은 버전으로 옮기는 것도 검토합니다.
복사해서 쓰는 프롬프트
내 사이트의 PHP 버전은 [버전, 예: 8.1.29]이고 워드프레스 [버전], 주요 플러그인은 [플러그인 이름들]이야. 1) 이 PHP 버전이 2026년 10월 21일 PHP 보안 업데이트(8.5.12, 8.4.27, 8.3.36, 8.2.35)를 받을 수 있는 버전인지 알려줘. 2) 더 높은 버전으로 올릴 때 내 워드프레스·플러그인이 호환되는지 확인하는 방법을 알려줘. 3) 올린 뒤 사이트가 깨졌을 때 되돌리는 순서도 적어 줘. 모르는 호환성 정보는 추측하지 말고 확인 방법만 알려줘.
03
업데이트 전에 백업부터
자동 업데이트를 켜기 전, 문제가 생기면 되돌릴 수 있는 백업을 확보하는 단계입니다.
이렇게 쓰세요워드프레스 공식 문서는 업데이트 전에 백업을 해 두라고 권하고, 자동 업데이트를 켜기 전에도 정기 백업을 마련하라고 안내합니다. 호스팅에 자동 백업 기능이 있는지, 며칠치가 보관되는지, 복원은 어떻게 요청하는지 확인합니다. 특히 파일과 데이터베이스가 둘 다 백업되는지 꼭 살펴봐야 합니다.
복사해서 쓰는 프롬프트
나는 [호스팅 업체 이름]에서 워드프레스 사이트를 운영하고 있어. 1) 워드프레스 백업에 반드시 들어가야 할 것(파일, 데이터베이스, 업로드 폴더 등)을 점검 목록으로 만들어 줘. 2) 호스팅 자동 백업이 있는지 확인할 때 업체에 물어볼 질문 5개를 써 줘(보관 기간, 복원 방법, 비용 등). 3) 백업 파일을 실제로 복원해 보는 연습을 안전하게 하는 방법도 알려줘.
04
워드프레스 코어 업데이트 상태 확인
워드프레스 본체가 최신인지, 보안 업데이트가 자동으로 들어오고 있는지 확인합니다.
이렇게 쓰세요관리자 화면의 대시보드 > 업데이트(Dashboard > Updates)에서 워드프레스, 플러그인, 테마, 번역 업데이트를 한곳에서 관리합니다. 공식 문서에 따르면 워드프레스 3.7 이후로는 FTP 정보를 입력하지 않고 원클릭 업데이트가 되는 사이트라면 마이너·보안 업데이트가 백그라운드에서 자동으로 적용됩니다. 큰 기능 업데이트(메이저 버전)는 '지금 업데이트'를 직접 눌러야 할 수 있습니다.
복사해서 쓰는 프롬프트
워드프레스 대시보드 > 업데이트 화면에 아래 내용이 나와: [화면 문구 붙여 넣기]. 1) 지금 바로 업데이트할 항목과 확인 후 업데이트할 항목을 나눠 줘. 2) 메이저 업데이트 전에 확인할 것(백업, 플러그인 호환성, 테스트 방법)을 순서대로 알려줘. 3) 업데이트 뒤 사이트에서 직접 눌러 봐야 할 화면 목록도 만들어 줘.
05
플러그인 자동 업데이트 켜기
플러그인을 하나씩 또는 한꺼번에 자동 업데이트로 바꾸는 설정입니다. 워드프레스 5.5부터 관리자 화면에서 바로 켤 수 있습니다.
이렇게 쓰세요관리자 화면의 플러그인(Plugins) 화면에서 '자동 업데이트(Automatic update)' 열의 링크를 눌러 플러그인별로 켭니다. 여러 개를 한 번에 바꾸려면 목록 첫 열의 체크박스로 플러그인을 고르고, 위쪽 일괄 작업 메뉴에서 자동 업데이트를 켜는 항목을 고른 뒤 '적용'을 누릅니다. 결제·회원 기능처럼 업데이트 후 동작 확인이 필요한 플러그인은 수동으로 남겨 두고 확인 일정을 정하는 방법도 있습니다.
복사해서 쓰는 프롬프트
내 워드프레스에 설치된 플러그인 목록이야: [플러그인 이름과 용도]. 1) 자동 업데이트를 켜도 비교적 무난한 것과, 업데이트 후 동작 확인이 필요해서 수동으로 두는 게 나은 것(결제, 회원, 캐시, 페이지 빌더 등)을 나눠 줘. 2) 수동으로 둔 플러그인은 얼마나 자주 확인하면 되는지 제안해 줘. 3) 오래 업데이트가 없거나 더 이상 쓰지 않는 것으로 보이는 플러그인은 따로 표시해 줘.
넣는 것 (예시)
플러그인: 문의 폼, 캐시, 쇼핑몰(결제), 검색 최적화(SEO), 백업
나오는 것 (예시)
자동 업데이트 켜기: 문의 폼, 검색 최적화, 백업 수동 확인 후 업데이트: 쇼핑몰(결제), 캐시 — 업데이트 뒤 결제 화면과 페이지 표시를 직접 확인 확인 주기: 주 1회
06
테마 자동 업데이트 켜기
테마는 플러그인과 달리 한꺼번에 바꾸는 기능 없이 하나씩 켭니다.
이렇게 쓰세요외모(Appearance) 화면에서 테마 썸네일을 눌러 상세 창을 연 뒤, 테마 제작자 이름 바로 아래의 '자동 업데이트 활성화(Enable auto-updates)' 링크를 누릅니다. 같은 링크로 다시 끌 수 있습니다. 쓰지 않는 테마도 서버에 남아 있으므로 정리해 두면 관리가 쉬워집니다. 테마 파일을 직접 고쳐 쓰고 있다면 업데이트 때 수정 내용이 사라질 수 있으니 먼저 확인합니다.
복사해서 쓰는 프롬프트
내 워드프레스 테마는 [테마 이름]이고, 테마 파일을 직접 수정한 적이 [있다 / 없다 / 모르겠다]. 1) 테마 자동 업데이트를 켜도 되는지 판단 기준을 알려줘. 2) 테마 파일을 직접 고친 경우 업데이트로 수정이 사라지지 않게 하는 방법(자식 테마 등)을 쉽게 설명해 줘. 3) 설치만 되어 있고 안 쓰는 테마를 지워도 되는지, 지우기 전에 확인할 것도 알려줘.
07
자동 업데이트가 실제로 도는지 확인
켜 놓기만 하고 실제로는 업데이트가 멈춰 있는 경우를 잡는 단계입니다.
이렇게 쓰세요공식 문서에 따르면 워드프레스는 기본적으로 하루 두 번 자동 업데이트를 실행하고, 다음 업데이트까지 남은 시간은 켜기/끄기 링크 아래와 대시보드 > 업데이트 화면에 표시됩니다. 자동 업데이트는 워드프레스 크론(WP-Cron)에 의존하므로, 돌지 않으면 도구 > 사이트 건강(Tools > Site Health)에서 오류를 확인합니다. 자동 업데이트 기능 자체가 보이지 않으면 워드프레스 5.5 이상인지 확인하고, 그래도 없다면 호스팅 업체나 다른 플러그인이 기능을 꺼 둔 것일 수 있습니다.
복사해서 쓰는 프롬프트
워드프레스 도구 > 사이트 건강 화면에 아래 내용이 나와: [화면 문구 붙여 넣기]. 1) 자동 업데이트나 예약 작업(크론)과 관련된 문제가 있는지 알려줘. 2) 각 문제를 내가 직접 고칠 수 있는지, 호스팅 업체에 요청해야 하는지 나눠 줘. 3) 업체에 보낼 요청 문장도 써 줘.
08
자동 업데이트 알림 메일 해석하기
워드프레스가 보내는 업데이트 성공·실패 메일을 붙여 넣고 다음 할 일을 받는 프롬프트입니다.
이렇게 쓰세요공식 문서에 따르면 워드프레스는 기본적으로 플러그인·테마 자동 업데이트가 성공했을 때, 실패했을 때, 일부만 성공했을 때 사이트 소유자에게 메일을 보냅니다. 관리자 메일 주소가 지금 읽는 주소인지 먼저 확인하고, 실패 메일을 받으면 미루지 말고 바로 봅니다.
복사해서 쓰는 프롬프트
워드프레스에서 아래 자동 업데이트 알림 메일을 받았어. 1) 무엇이 업데이트됐고 무엇이 실패했는지 정리해 줘. 2) 실패한 항목은 가능한 원인과 확인 순서를 알려줘. 3) 업데이트 후 사이트에서 직접 눌러 봐야 할 화면(로그인, 결제, 문의 폼 등)을 점검 목록으로 만들어 줘. 메일: [메일 본문 붙여 넣기, 사이트 주소·이메일은 지우고]
09
관리자 계정과 안 쓰는 기능 정리
업데이트와 함께 해 두면 좋은 기본 점검입니다. 오래된 관리자 계정, 안 쓰는 플러그인, 약한 비밀번호를 정리합니다.
이렇게 쓰세요사용자 화면에서 관리자 권한을 가진 계정을 확인하고, 퇴사자나 외주 작업자 계정은 권한을 낮추거나 지웁니다. 비활성화만 해 둔 플러그인도 파일은 서버에 남아 있으므로 안 쓰면 삭제합니다. 호스팅 관리 화면과 워드프레스 관리자 계정 모두 2단계 인증을 쓸 수 있는지 확인합니다. 아래 프롬프트로 매달 반복할 점검표를 만들어 둡니다.
복사해서 쓰는 프롬프트
작은 워드프레스 사이트를 혼자 운영하고 있어. 한 달에 한 번 30분 안에 끝낼 수 있는 보안 점검표를 만들어 줘. 1) 관리자 계정·비밀번호·2단계 인증, 2) 플러그인·테마 정리, 3) 백업 확인, 4) PHP·워드프레스 버전 확인, 5) 호스팅 공지 확인으로 나눠서, 항목마다 '어디서 확인하는지'와 '이상하면 무엇을 하는지'를 한 줄씩 적어 줘. 표 형식으로 줘.
보너스 · 이번 주 안에 끝낼 체크리스트
- 호스팅 업체 공지에서 10월 21일 PHP 보안 패치 적용 여부를 확인했습니다
- PHP가 8.5.12·8.4.27·8.3.36·8.2.35 이상이거나 업체가 패치했다고 확인했습니다(8.1 이하라면 업그레이드 계획을 세웠습니다)
- 파일과 데이터베이스 백업이 있고 복원 방법을 압니다
- 플러그인·테마 자동 업데이트를 켰거나 수동 확인 일정을 정했습니다
- 사이트 건강 화면에 크론·업데이트 관련 오류가 없습니다
- 관리자 메일 주소가 지금 읽는 주소입니다
- 안 쓰는 플러그인·테마·관리자 계정을 지웠습니다
원문위즈 리서치 — PHP2Shell · https://wiz.io/blog/php2shell-php-rcePHP 공식 사이트 — 2026년 10월 21일 보안 릴리스 · https://www.php.net/워드프레스 문서 — 플러그인·테마 자동 업데이트 · https://wordpress.org/documentation/article/plugins-themes-auto-updates/워드프레스 문서 — 워드프레스 업데이트하기 · https://wordpress.org/documentation/article/updating-wordpress/
SHIFT AI 팔로우
영상으로 보고, 기사로 자세히 읽기
30초 영상은 인스타그램과 유튜브 쇼츠에, 짧은 글과 토론은 쓰레드에 올립니다. 새 소식은 그쪽에 가장 먼저 올라옵니다.
