지원 종료(EOL)란 — PHP2Shell 패치가 8.2까지만 나온 이유, 8.2도 2026년 12월 31일에 끝난다

같은 취약점인데 어떤 버전은 패치가 나오고 어떤 버전은 안 나온다. 그 경계가 '지원 종료(EOL)'다. 2026년 10월 21일 PHP 개발팀이 PHP2Shell 취약점을 고쳤을 때, 정규 패치는 PHP 8.2·8.3·8.4·8.5에만 나왔다. 8.1 이하는 이미 수명이 끝났기 때문이다. PHP 팀은 8.1·8.0·7.4용 최소한의 소스 수정을 따로 내놓았지만, 그 버전을 쓰는 곳은 직접 빌드하거나 배포판·LTS 업체에 기대야 한다.

EOL(End of Life)은 개발 주체가 특정 버전에 버그 수정도, 보안 패치도 더는 내지 않는 시점이다. 프로그램은 그날 이후에도 멀쩡히 돌아간다. 다만 새로 발견되는 구멍이 영원히 막히지 않는다.

1. 지원은 보통 세 단계로 끝난다

PHP의 규칙은 단순하다. 각 버전은 첫 정식 출시 후 2년간 적극 지원, 이어서 2년간 치명적 보안 문제만 고친다. 4년이 지나면 지원이 끝난다. 다른 언어·런타임도 이름과 기간만 다를 뿐 구조는 비슷하다. Node.js는 짝수 버전을 장기 지원(LTS)으로 운영하고, 파이썬은 버전마다 약 5년을 지원한다.

2. 2026년 10월 현재 무엇이 살아 있나

PHP

파이썬·Node.js

PHP 8.2를 쓰는 곳은 이번에 8.2.35로 올려 PHP2Shell을 막았더라도, 2026년 12월 31일 뒤에 나오는 취약점은 공식 패치를 받지 못한다. 연내 8.3 이상으로 옮길 계획이 필요한 이유다. 파이썬 3.10과 Node.js 20은 이미 시한이 지났다. 10월 24일 다룬 Node.js 취약점 패치도 지원 중인 22·24·26 버전에만 나왔다(「Node2Shell(CVE-2026-111497)」).

3. 왜 끝난 버전을 계속 쓰게 되나

마지막 줄이 가장 위험하다. EOL은 프로그램을 멈추지 않는다. 그래서 잊힌다. PHP2Shell 공지에서 팔로알토는 자사 방화벽 운영체제 PAN-OS의 모든 버전이 영향을 받는다고 밝혔다. 사용자가 PHP를 직접 깔지 않았어도 장비 안에 들어 있던 것이다. 내 서버의 버전 확인법은 같은 날 「PHP2Shell 취약점 패치 버전」에, 취약점 점수 읽는 법은 「CVSS란」에 정리했다.

점검 순서

4. 남은 것과 확인되지 않은 것

• 연장 지원: 레드햇·우분투 같은 배포판과 LTS 업체가 공식 EOL 이후에도 패치를 내는 기간은 업체마다 다르다. 이 기사에서는 정리하지 않았다.
• PHP 8.2 일정: 2026년 12월 31일 종료는 php.net 표 기준이다. 연장 공지는 확인되지 않았다.