[이데일리 김현아 기자] 최근 국내 금융권과 민간기업에서 사이버 침해사고가 잇따르는 가운데, 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 PHP에서 심각한 보안 취약점 2건이 발견됐다. 공격자가 별도 인증 없이 서버에서 악성 코드를 실행할 수 있어 웹사이트 운영자의 신속한 대응이 요구된다.

22일 한국인터넷진흥원(KISA)과 보안업계에 따르면 PHP에서 원격 코드 실행(RCE)이 가능한 취약점 2건(CVE~2026~109618, CVE~2026~109619)이 확인됐다. 국제 공통 취약점 평가 체계(CVSS) 기준 심각도는 각각 9.2점이다.

◇서버 장악부터 정보 유출까지

공격자가 취약점을 악용하면 서버에서 임의의 코드를 실행할 수 있다. 웹사이트를 변조하거나 서버에 저장된 정보를 탈취하는 등 추가 피해로 이어질 가능성이 있다.

PHP는 워드프레스 등 웹사이트 관리 시스템과 온라인 쇼핑몰, 기업 홈페이지 등 다양한 서비스에 사용된다. 오래전에 구축한 홈페이지나 외주 개발한 시스템도 PHP를 사용할 수 있어 운영 환경을 점검해야 한다.

PHP를 사용하는 모든 웹사이트가 영향을 받는 것은 아니다. 실제 취약 여부와 위험 수준은 사용 중인 PHP 버전과 서버 설정 등에 따라 달라진다.

◇보안 패치 적용…구버전은 업그레이드

PHP 개발진은 취약점을 해결하기 위한 보안 업데이트를 공개했다. 안내된 수정 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상이다.

서버 운영자는 현재 사용 중인 PHP 버전을 확인하고 해당 버전에 맞는 보안 업데이트를 적용해야 한다. 업데이트 후에는 실제 운영 환경에 패치가 정상적으로 반영됐는지도 확인할 필요가 있다.

보안 지원이 종료된 PHP 5·7 등 구버전은 공식 패치를 제공받지 못할 수 있다. 이 경우 보안 지원이 제공되는 버전으로 업그레이드해야 한다. 즉시 업그레이드하기 어렵다면 외부 접속을 제한하는 등 임시 보호 조치를 검토해야 한다.

자세한 취약점 정보와 대응 방법은 KISA의 보호나라 보안 공지에서 확인할 수 있다. 기업과 기관은 일반 홈페이지뿐 아니라 쇼핑몰과 사내 관리 페이지 등 외부에 공개된 시스템도 점검해야 한다. 운영 중인 PHP 버전을 파악하고 보안 업데이트를 적용하는 것이 피해 예방의 첫 단계다.