[이데일리 김현아 기자] 웹사이트 운영자가 PHP 보안 취약점인 ‘PHP2Shell’의 영향 여부를 직접 확인할 수 있는 무료 점검 서비스가 나왔다. 정부가 사이버 위기경보를 ‘주의’로 격상하는 등 긴급 대응에 나선 가운데, 보안 인력이 부족한 중소기업과 기관의 자체 점검을 돕기 위한 것이다.

AI 보안기업 스틸리언은 웹사이트 주소(URL)를 입력하면 PHP2Shell 취약점의 영향 여부를 확인할 수 있는 무료 온라인 서비스를 공개했다.

이용자는 스틸리언 홈페이지에서 점검 대상 웹사이트 주소를 입력하면 된다. 기업·기관의 보안 담당자뿐 아니라 홈페이지 운영자도 이용할 수 있다. 다만 점검 결과가 웹사이트 전체의 안전성을 보증하는 것은 아니며, 보안 업데이트를 대신하지도 않는다.

◇PHP 자체 취약점…서버 장악·정보 유출 가능성

PHP2Shell은 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 PHP에서 발견된 보안 취약점 2건(CVE~2026~109618, CVE~2026~109619)을 가리킨다. 악용되면 별도 인증 없이 서버에서 임의의 코드를 실행하거나 민감한 정보에 접근할 수 있다.

PHP는 홈페이지와 온라인 쇼핑몰, 게시판, 관리자 페이지 등에 폭넓게 사용된다. 워드프레스와 그누보드 등 홈페이지 제작 도구도 PHP를 기반으로 동작한다. 개별 홈페이지의 프로그램 코드가 아니라 PHP 실행 환경 자체의 취약점인 만큼, 홈페이지를 안전하게 개발했더라도 취약한 PHP 환경을 사용하면 영향을 받을 수 있다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 PHP를 사용하는 기업·기관에 보안 업데이트를 즉시 적용하라고 당부했다. 과기정통부는 22일 낮 12시를 기해 민간 분야 사이버 위기경보를 ‘관심’에서 ‘주의’로 상향했다.

◇취약 여부 확인 넘어 보안 업데이트까지 해야

무료 점검 서비스는 취약점 대응에 필요한 첫 단계인 영향 여부 확인을 돕는 데 초점을 맞췄다. 특히 홈페이지 관리를 외부 업체에 맡기거나 자체 보안 인력이 부족한 기업은 운영 중인 서비스가 취약한지부터 파악해야 한다.

점검 후에는 실제 서버의 PHP 버전과 보안 업데이트 적용 여부를 확인해야 한다. 업데이트를 마친 뒤에는 관련 웹서비스를 재시작했는지도 점검할 필요가 있다. 이미 취약한 환경에 노출됐을 가능성이 있다면 이상 접속 기록이나 웹셸 설치 등 침해 흔적도 별도로 살펴봐야 한다. 호스팅 서비스를 이용하는 경우에는 업체에 보안 패치 적용 여부를 문의하는 것이 좋다.

서비스는 이용자가 소유하거나 관리·점검 권한을 가진 웹사이트에 한해 사용해야 한다.

박찬암 스틸리언 대표는 “긴급 상황에서는 운영 중인 서비스가 취약점의 영향을 받는지 확인하고 신속하게 보안 조치를 하는 것이 중요하다”며 “보안 인력이 부족한 중소기업과 기관에 도움이 되기를 바라는 마음으로 서비스를 공개했다”고 말했다.