WordPress에서 서서히 멀어지는 흐름

WordPress는 오픈 소스의 위대한 성공 사례 중 하나입니다. 블로그용 도구로 시작해 웹의 상당 부분을 떠받치는 소프트웨어로 자랐습니다. 무료로 쓰고 자유롭게 고칠 수 있으며, 테마와 플러그인과 호스팅 업체로 이루어진 생태계 덕분에 거의 누구나 무언가를 게시할 수 있습니다.

저희는 에이전시로서 수년간 WordPress 사이트를 만들고 관리했으며, 지금도 좋은 사이트가 많이 WordPress에서 돌아갑니다. 이 글은 부고가 아닙니다. 하지만 세 가지가 한꺼번에 바뀌었고, WordPress로 웹사이트를 운영하는 회사라면 세 가지를 모두 알아야 합니다. 점유율이 꺾였고, 위험은 플러그인에 있으며, 프로젝트의 리더십은 지금 배심 재판으로 향하는 분쟁 속에서 2년을 보냈습니다.

점유율이 꺾였습니다

웹사이트 뒤의 기술을 추적하는 W3Techs에 따르면 WordPress는 10년 가까이 상승했습니다. 2015년 초 전체 웹사이트의 23.3퍼센트에서 2022년 초 43.2퍼센트까지. 그 뒤로는 평평해졌습니다. 2025년 1월에는 43.6퍼센트, 2026년 1월에는 43.0퍼센트였습니다. 2026년 10월 12일의 수치는 40.1퍼센트였습니다.

이는 여전히 다른 모든 콘텐츠 관리 시스템을 합친 것보다 많으며, W3Techs가 시스템을 식별할 수 있는 사이트 중에서는 58.6퍼센트입니다. 하지만 방향은 새롭습니다. 같은 기간 Shopify는 전체 웹사이트의 4.7퍼센트에서 5.4퍼센트로, Wix는 3.3퍼센트에서 4.2퍼센트로 늘었고, Joomla와 Drupal은 계속 줄었습니다. 이런 집계는 방법에 따라 달라지므로, 소수점보다 방향이 더 중요합니다.

위험은 플러그인에 있습니다

WordPress 코어는 상태가 좋습니다. 생태계를 추적하는 보안 기업 Patchstack은 2025년 WordPress 코어에서 취약점을 단 6건 집계했고, 모두 우선순위가 낮았습니다.

그 주변의 생태계는 사정이 다릅니다. Patchstack은 2025년 WordPress 전반에서 새로운 취약점 11'334건을 집계했는데, 2024년보다 42퍼센트 많습니다. 91퍼센트는 플러그인에, 9퍼센트는 테마에 있었습니다. 그중 46퍼센트는 결함이 공개될 때 개발자가 수정을 준비해 두지 못했습니다. 그리고 공격자들이 가장 집요하게 노린 결함의 경우, 공개에서 대규모 악용까지 걸린 시간의 중앙값은 다섯 시간이었습니다.

Patchstack은 바로 이런 위험에 대한 보호를 판매하므로, 그 프레이밍은 늘 그렇듯 신중하게 받아들일 필요가 있습니다. 하지만 패턴 자체는 구조적입니다. 회사 사이트는 흔히 여러 작성자가 만든 많은 플러그인을 돌리며, 플러그인마다 업데이트 주기, 품질, 비즈니스 모델이 다릅니다. 그 하나하나가 공개 서버 위의 코드입니다. 이를 최신으로 유지하는 것은 매주 해야 하는 일이며, 그 일을 건너뛴 주가 바로 문제가 되는 주입니다.

2년간의 혼란

2024년 9월 WordCamp US 콘퍼런스에서 Automattic의 최고경영자이자 WordPress 프로젝트의 대표 인물인 Matt Mullenweg는 커뮤니티에 최대 WordPress 호스팅 업체 중 하나인 WP Engine에 돈을 내지 말라고 촉구했습니다. 이어진 글에서 그는 이 회사를 WordPress의 “암”이라고 불렀습니다. Mullenweg는 WordPress 상표 사용에 대한 로열티로 WP Engine 월 총매출의 8퍼센트를 요구했었습니다.

9월 25일 WordPress.org는 WP Engine의 리소스 접근을 금지했고, 이 때문에 WP Engine이 호스팅하던 일부 사이트에서 플러그인과 테마 업데이트가 끊겼습니다. 10월 WP Engine은 Automattic과 Mullenweg를 고소했고, WordPress.org는 WP Engine이 관리하던 인기 플러그인 Advanced Custom Fields의 통제권을 가져갔습니다. 12월 한 연방 판사가 가처분을 허가해 WP Engine의 접근권과 플러그인이 복구되었습니다.

그 뒤에 일어난 일은 호스팅 업체보다 프로젝트에 더 큰 상처를 남겼습니다. 2025년 1월 Automattic은 법적 싸움에 자원을 쏟기 위해 WordPress에 약속한 기여를 주당 약 2'560시간에서 약 45시간으로 줄였습니다. 4월에는 직원의 16퍼센트를 해고했고, WordPress는 6.8이 2025년의 마지막 메이저 릴리스가 될 것이라고 밝혔습니다. 5월 말 Automattic은 방향을 바꿔 코어로 돌아왔습니다. 6월 Linux Foundation은 어느 한 곳도 업데이트를 통제하지 않도록 설계한 플러그인과 테마의 연합형 저장소 FAIR를 출범시켰습니다.

소송은 끝나려면 아직 멀었습니다. 2026년 9월 24일 판사는 1년 전 기각했던 WP Engine의 반독점 청구를 되살렸고, Automattic과 Mullenweg가 자신들이 주장한 WordPress 상표의 소유자도 등록자도 아니라고 판단했습니다. Automattic의 반소도 대부분 유지됩니다. 열흘 일정의 배심 재판이 2027년 10월로 잡혀 있습니다.

WordPress를 쓰는 회사에 주는 의미

이 중 어느 것도 WordPress 사이트를 하룻밤 사이에 위험하게 만들지는 않습니다. 플러그인이 적고, 호스팅이 좋고, 업데이트를 책임지는 담당자가 정해진, 잘 관리된 설치본은 수년간 회사에 도움이 될 수 있습니다. 블로그, 작은 회사 소개 사이트, 또는 이 플랫폼을 잘 아는 팀이라면 그대로 머무는 것이 합리적인 선택일 때가 많습니다.

지난 2년이 보여 준 것은 의존성입니다. 사이트의 업데이트, 플러그인, 공급망에 대한 신뢰가 모두 하나의 저장소를 거치며, 한동안 그 저장소에 관한 결정은 상업적 분쟁 한가운데서 내려졌습니다. 여기에 새 결함의 절반 가까이가 수정되기 전에 공개되는 생태계를 더하면, 질문은 더 이상 WordPress가 작동하느냐가 아닙니다. 회사가 웹사이트의 얼마만큼을 자신이 통제하지 못하는 부분에 맡기고 싶으냐입니다.

CMS를 얹은 빌드형 사이트

그래서 더 많은 회사가 빌드형 사이트로 옮겨 갑니다. 코드에서 빠른 페이지로 컴파일되는 웹사이트이며, 편집하는 사람들을 위해 그 위에 콘텐츠 관리 시스템을 얹습니다. 그러면 공개 사이트에는 공격할 플러그인도, 관리자 로그인도 없습니다. 모든 변경은 공개되기 전에 테스트를 거치는 빌드를 통과합니다. 콘텐츠는 공급업체가 설계한 데이터베이스가 아니라 회사가 소유한 파일에 있습니다.

대가도 분명히 있습니다. WordPress에는 거의 모든 것을 위한 플러그인이 있지만, 빌드형 사이트는 새 기능을 위해 개발자가 필요합니다. 그리고 편집 기능을 잘 만들어야 합니다. 그렇지 않으면 마케팅 팀은 일주일도 안 되어 예전 관리자 화면을 그리워할 것입니다.

Studio는 바로 이 문제를 위해 만들어졌습니다. 그 핵심은 Next.js, Vite, TanStack으로 만든 사이트 위에 얹는 CMS이며, 공개 사이트에는 플러그인도 PHP도 없습니다. 모든 게시는 검사를 거쳐 한 번 빌드되고, 테스트되고, 라이브로 전환되고, 검증되며, 무엇이든 실패하면 스스로 롤백되고, 게시할 때마다 콘텐츠가 회사 자체의 저장소에 커밋됩니다. 편집자는 단어를 클릭해 바꾸고 실제 페이지를 봅니다. Studio는 얼리 액세스 단계입니다.

빌드, 테스트, 롤백은 기계가 맡을 수 있습니다. 페이지가 무엇을 말하는지, 그리고 내보낼 만큼 충분히 좋은지는 그에 대해 책임지는 사람들의 몫으로 남습니다.

출발점

플러그인 수를 세고, 각각을 누가 관리하는지, 마지막 업데이트가 언제였는지, 무슨 일을 하는지 적으십시오. 아무도 필요로 하지 않는 것은 제거하십시오. 유료 플러그인을 포함해 모든 플러그인이 업데이트를 받는지, 그리고 지정된 담당자가 매주 확인하는지 점검하십시오. 콘텐츠를 한 번 내보내 보고, 필요할 때 옮길 수 있는지 확인하십시오.

그런 다음 의도를 갖고 결정하십시오. WordPress가 도움이 되는 곳에서는 구성 요소를 줄이고 담당자를 분명히 해서 유지하십시오. 웹사이트가 사업의 중심이라면, CMS를 얹은 빌드형 사이트는 이야기해 볼 가치가 있습니다.