PHP 8.2는 2026년 12월 31일에 보안 지원이 끝날 예정이라, KISA 보호나라는 8.3 이상으로 옮기라고 권장합니다. php.net 기준으로 2026년 11월 4일에 지원 중인 버전은 8.2, 8.3, 8.4, 8.5 네 개입니다.
PHP 버전마다 기능도 조금씩 다르지만, 홈페이지를 가진 사장님에게 더 중요한 차이는 「언제까지 보안 업데이트를 받느냐」입니다. php.net 지원 일정과 마이그레이션 가이드를 직접 읽고, 버전별 차이와 고르는 기준을 정리했습니다.
1. PHP 버전마다 지원 기간은 얼마인가요?
4년입니다. php.net 지원 정책에 따르면 새 버전은 처음 나온 날부터 2년 동안 적극 지원을 받고, 그 뒤 2년은 치명적인 보안 문제만 고쳐 줍니다.
- 적극 지원(Active support): 신고된 버그와 보안 문제를 고치고 정기적으로 새 버전을 냅니다
- 보안 지원(Security fixes only): 치명적인 보안 문제만 고치고, 필요할 때만 새 버전을 냅니다
- 지원 종료(End of life): 더 이상 고치지 않습니다
4년이 지나면 그 버전은 지원이 끝납니다. php.net은 지원이 끝난 버전을 쓰면 고쳐지지 않은 보안 취약점에 노출될 수 있으니 되도록 빨리 올리라고 적었습니다.
2. 지금 지원 중인 네 버전의 일정
2026년 11월 4일 php.net Supported Versions 표를 옮기면 아래와 같습니다. 8.3은 적극 지원이 이미 끝나 보안 수정만 받고 있고, 8.4는 2026년 12월 31일에 적극 지원이 끝나 보안 지원으로 넘어갑니다.
같은 날짜라도 뜻이 다릅니다. 8.4의 2026년 12월 31일은 적극 지원이 끝나는 날이고 보안 지원은 2028년 12월 31일까지입니다. 8.2의 2026년 12월 31일은 보안 지원까지 모두 끝나는 날입니다.
8.2 지원이 끝나면 달라지는 것
PHP 개발팀은 2026년 10월 21일 8.2.35를 내면서 이렇게 적었습니다.
PHP 8.2 reaches end of life on 31 December 2026 and will receive no further security fixes after that date.
2026년 12월 31일이 지나면 8.2에서 새 취약점이 나와도 공식 수정 버전이 나오지 않는다는 뜻입니다. 이번 PHP2Shell은 8.2가 아직 보안 지원 기간이라 8.2.35로 고쳐졌습니다.
이미 지원이 끝난 8.1 이하는 이번에 정식 수정 버전을 받지 못했습니다. 취약점이 심각해 PHP 보안팀이 7.4·8.0·8.1용 최소한의 소스 패치를 따로 냈지만, KISA는 이를 임시 조치로 보고 전환 계획을 세우라고 적었습니다.
8.3·8.4·8.5에서 새로 생긴 기능
php.net 릴리스 페이지가 꼽은 대표 기능은 이렇습니다. 개발자가 코드에 써야 동작하는 기능이라, 버전만 올린다고 이미 만든 홈페이지 화면이 달라지지는 않습니다.
- 8.3: 클래스 상수에 자료형 지정, readonly 속성 깊은 복제, 난수 기능 추가
- 8.4: 속성 훅(property hooks), 읽기·쓰기 권한을 따로 정하는 비대칭 가시성, 개선된 DOM API
- 8.5: URI(주소) 처리 기능 기본 탑재, 파이프 연산자(
|>), 복제하면서 속성 바꾸기
8.3과 8.4 릴리스 페이지는 성능 개선과 버그 수정도 함께 들어 있다고 적었습니다. 성능이 얼마나 좋아지는지는 홈페이지마다 달라 숫자로 말하기 어렵습니다.
5. 올릴 때 걸리는 차이: 호환되지 않는 변경
새 기능보다 조심할 것은 예전 코드가 그대로 돌지 않는 변경입니다. php.net 마이그레이션 가이드는 버전마다 「Backward Incompatible Changes」 항목에 이런 변경을 모아 둡니다.
빠진 기능은 「Removed Extensions」 항목에 따로 있습니다. 예를 들어 8.4에서는 IMAP, OCI8, PDO_OCI, PSpell 확장이 PHP 기본 배포판에서 빠져 PECL로 옮겨졌습니다. 이 기능을 쓰던 홈페이지는 8.4로 올리기 전에 따로 설치할 방법을 챙겨야 합니다.
7.x에서 8.x로 크게 건너뛰면 8.0의 변경도 함께 봐야 합니다. 8.0부터는 숫자와 숫자가 아닌 문자열을 비교하는 방식이 바뀌어, 0 == "foo"가 예전과 달리 거짓(false)이 된다고 가이드에 적혀 있습니다.
6. 어느 버전으로 옮길지 고르는 기준
KISA는 8.2도 보안 지원이 끝날 예정이므로 8.3 이상으로 전환하라고 권장합니다. 그 안에서는 보안 지원이 언제까지인지가 기준이 됩니다. 8.3은 2027년 12월 31일, 8.4는 2028년 12월 31일, 8.5는 2029년 12월 31일까지입니다.
한 번 올릴 때 더 오래 쓰려면 뒤 버전이 유리하지만, 내 홈페이지 프로그램과 플러그인이 그 버전을 지원하는지 먼저 확인해야 합니다. 8.6은 2026년 11월 4일 기준 시험판(RC)이고, php.net은 운영 서버에 쓰지 말라고 적었습니다.
정리하면 버전을 고를 때는 이렇게 봅니다.
- PHP는 버전마다 4년(적극 2년 + 보안 2년) 지원합니다
- 8.2는 2026년 12월 31일 보안 지원이 끝날 예정이고, KISA는 8.3 이상 전환을 권장합니다
- 새 기능은 주로 개발자용이고, 사장님에게 중요한 차이는 보안 지원 종료일입니다
- 올리기 전에 마이그레이션 가이드의 호환되지 않는 변경과 빠진 확장을 확인합니다
PHP2Shell 대응 전체 순서는 PHP2Shell 조치 방법, 확인부터 패치까지에 있습니다. 내 버전이 이번 취약점에 해당하는지는 php 취약점 버전, 내 홈페이지도 해당될까?에서, 업그레이드를 직접 할지 맡길지는 php 버전 업그레이드, 직접 할까 맡길까에서 이어 볼 수 있습니다.
참고자료 (모두 2026년 11월 4일 확인)
- PHP 「Supported Versions」 — php.net/supported-versions.php
- PHP 「Unsupported Branches」 — php.net/eol.php
- PHP 뉴스 「PHP 8.2.35 Released!」·「PHP 8.6.0 RC4 available for testing」(2026-10-21) — php.net/archive/2026.php
- PHP 8.3·8.4·8.5 릴리스 페이지 — php.net/releases
- PHP 매뉴얼 마이그레이션 가이드(8.0 · 8.4) — php.net/manual/en/migration84.php
- KISA 보호나라 「PHP 보안취약점(PHP2Shell) 관련 기업 보안 대응 수칙」(2026-10-22) — boho.or.kr
#PHP버전 #PHP8 #PHP지원종료 #PHP업그레이드 #홈페이지보안
