전 세계 웹사이트를 위협하는 '위험도 9.2' 수준의 치명적인 PHP 보안 취약점이 공개되면서 기업과 기관의 긴급 대응이 요구되고 있다. 로그인 없이 서버에서 악성 명령을 실행할 수 있는 데다 공격 가능성을 입증한 코드까지 공개됐다. 미국 국가안보국(NSA)은 즉각적인 보안 패치를 권고했고, 한국 정부도 사이버위기 경보를 '주의'로 격상했다.

특히 이번 취약점은 개별 웹사이트가 아닌 PHP 자체에서 발견된 결함이다. 보안 지원이 종료된 구형 PHP를 사용하는 시스템은 상위 버전으로 전환해야 하지만, 오래된 기업 홈페이지나 영세 쇼핑몰 등은 관리 인력과 비용 문제로 신속한 대응에 어려움을 겪을 수 있다.

로그인 없이 서버 장악 가능한 '치명적' 취약점…즉시 업뎃
23일 보안업계에 따르면 지난 21일(현지시간) 공개된 PHP 보안 취약점 2건(CVE-2026-109618, CVE-2026-109619)은 공통 취약점 평가 시스템(CVSS) 4.0 기준 각각 9.2점을 받았다.

CVSS는 보안 취약점의 심각도를 평가하는 국제 기준으로, 10점 만점에 9.0점 이상이면 최고 위험 등급인 '치명적'(Critical)으로 분류된다.

이번 취약점은 공격자가 별도의 로그인이나 인증 절차 없이 인터넷을 통해 조작된 요청을 보내 서버에서 임의의 코드를 실행할 수 있다는 점에서 위험성이 크다.

공격에 성공하면 해커가 서버를 원격으로 제어하거나 고객 정보를 빼내고 홈페이지를 변조·마비시키는 등의 피해를 일으킬 수 있다. 서버 메모리에 저장된 비밀번호와 인증 토큰, 응용프로그램 인터페이스(API) 키 등 민감한 정보도 유출될 위험이 있다.

두 취약점은 모두 PHP 내부의 메모리 처리 과정에서 발생한다. CVE-2026-109618은 메모리 부족 등 예외 상황을 제대로 처리하지 못하는 결함이며, CVE-2026-109619는 이미 해제된 메모리를 다시 참조하는 '해제 후 사용'(Use After Free) 취약점이다.

특히 아파치 웹서버에서 PHP를 실행하는 'mod_php' 환경에서는 웹사이트의 자체 프로그램이 실행되기 전 공격이 성립할 수 있는 것으로 확인됐다. 웹사이트에 별도의 로그인·접근통제 기능을 마련했더라도 PHP 실행 환경 자체가 공격 경로가 될 수 있다는 의미다.

공격 가능성을 입증하는 개념증명(PoC) 코드도 공개됐다. 유럽연합 컴퓨터침해사고대응팀(CERT-EU)은 공격코드 공개에 따른 악용 가능성을 경고하며 인터넷에 직접 연결된 시스템부터 우선 업데이트할 것을 권고했다.


이번 취약점이 특히 우려되는 이유는 PHP의 광범위한 사용 범위 때문이다.

PHP는 워드프레스와 드루팔, 줌라, 마젠토 등 주요 웹사이트 제작·운영 도구에 사용되는 프로그래밍 언어다. 기업 홈페이지와 온라인 쇼핑몰은 물론 각종 웹서비스를 구동하는 데 활용된다.

웹 기술 분석업체 W3Techs에 따르면 서버 측 프로그래밍 언어를 확인할 수 있는 웹사이트의 약 75%가 PHP를 사용한다. 전 세계 웹사이트의 상당수가 이번 취약점의 영향 여부를 점검해야 하는 셈이다.

미국 NSA도 긴급 보안 권고를 내고 PHP를 사용하는 기업과 기관에 즉각적인 보안 패치 적용을 촉구했다. 당장 업데이트하기 어려운 시스템은 안전한 조치가 이뤄질 때까지 인터넷 연결을 차단하는 등 오프라인으로 전환할 것을 권고했다.

유럽연합(EU) 집행위원회와 유럽연합 사이버보안청(ENISA), CERT-EU 등도 PHP 기반 시스템에 대한 긴급 점검과 보안 업데이트를 촉구했다.

영국 국민보건서비스(NHS) 잉글랜드의 사이버보안 조직도 인증 절차 없는 원격 코드 실행과 민감한 메모리 정보 접근 가능성을 경고했다. 일본 정보처리추진기구(IPA) 역시 기업과 기관에 보안 업데이트를 촉구했다.


영세 쇼핑몰·노후 홈페이지 관리 사각지대
과학기술정보통신부와 한국인터넷진흥원(KISA)은 PHP 취약점으로 인한 대규모 해킹 가능성에 대응하기 위해 지난 22일 낮 12시부터 민간 분야 사이버위기 '주의' 경보를 발령했다. '주의' 단계에서는 침해대응 인력을 증원하고 비상출동조를 상시 대기시키는 등 비상 대응체계를 가동한다.

이에 따라 과기정통부와 KISA는 정보보호 최고책임자(CISO) 신고기업 약 2만 8000곳, 주요 정보통신기반시설 111곳, 정보보호 관리체계(ISMS) 인증기업 1068곳, 사이버위협 정보 공유(C-TAS) 회원사 5900곳, 주요 웹호스팅사 및 인터넷데이터센터(IDC) 688곳 등에 긴급 보안 조치 사항을 전파했다.

정부가 강조하는 대응책은 취약점이 해결된 PHP 버전으로 즉시 업데이트하는 것이다.

PHP 개발진은 지난 21일 취약점을 수정한 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전을 긴급 배포했다.

문제는 오래된 PHP를 사용하는 시스템이다. PHP 8.1 이하 버전은 공식 보안 지원이 종료돼 이번 취약점에 대한 수정 버전이 제공되지 않는다. 해당 시스템은 보안 지원을 받는 상위 버전으로 전환해야 한다.

특히 보안 인력과 관리체계가 부족한 중소기업이나 영세 온라인 쇼핑몰, 오래전에 구축한 기업 홈페이지 등은 보안 관리의 사각지대로 꼽힌다.

기업 홈페이지나 쇼핑몰은 최초 구축 이후 디자인과 상품 정보 등 외부에 보이는 부분만 수정하고 내부 프로그램은 그대로 두는 경우가 있다. 웹사이트가 정상적으로 작동하는 동안에는 보안 업데이트의 필요성을 인식하기도 쉽지 않다.

외주 개발 시스템은 관리 공백이 발생하기 쉬운 영역이다. 홈페이지 제작을 맡겼던 업체와 유지보수 계약이 끝났거나 담당 개발자가 바뀌었다면 현재 어떤 PHP 버전을 사용하는지조차 파악하기 어려울 수 있다.

오래된 웹사이트는 보안 업데이트도 까다롭다. 구형 PHP에 맞춰 제작한 프로그램이나 플러그인이 최신 버전에서 제대로 작동하지 않는 호환성 문제가 발생하기 때문이다. PHP 버전을 올리는 데 그치지 않고 기존 프로그램을 수정하거나 결제·회원관리 등 주요 기능을 다시 점검해야 하는 상황도 생긴다.

영세 쇼핑몰에는 비용과 인력 문제가 또 다른 부담이다. 운영 중인 서비스를 중단하기 어렵고 자체 개발 인력마저 부족하다면 보안상 위험을 인식하더라도 신속한 대응이 어렵게 된다.

웹호스팅 서비스를 이용하는 기업도 점검이 필요하다. 호스팅업체가 서버를 관리하더라도 개별 웹사이트의 PHP 버전과 프로그램 호환성까지 자동으로 해결되는 것은 아니기 때문이다. 운영자는 호스팅업체에 보안 패치 적용 여부를 확인하고 필요한 경우 PHP 버전 전환과 웹사이트 수정 작업을 진행해야 한다.

기업 내부 관리시스템이나 오래된 업무용 웹프로그램도 점검 대상이다. 외부에 공개된 홈페이지뿐 아니라 평소 관리가 소홀했던 시스템에도 PHP가 사용될 수 있어 운영 중인 웹서비스 전반에 대한 확인이 요구된다.

개인정보보호위원회는 웹서비스를 운영하는 개인정보처리자에게 취약점 긴급 조치와 데이터베이스(DB) 접근통제 강화, 대량 유출 방지, 관리 사각지대 점검 등을 당부했다.


국내외 보안업계 공격 차단 총력…근본 해결은 PHP 업데이트
국내외 보안기업들도 취약점 점검과 공격 차단 지원에 나섰다.

국내 보안기업 스틸리언은 웹사이트 주소(URL)를 입력해 PHP2Shell 취약점의 영향 여부를 점검할 수 있는 무료 온라인 서비스를 공개했다.

에버스핀은 자사 웹 보안 솔루션 '에버세이프 포 웹'(Eversafe for Web) 서비스형 소프트웨어(SaaS) 고객을 대상으로 취약점 악용 공격을 차단하는 규칙을 적용했다. 안랩도 긴급 보안 공지를 통해 PHP의 최신 버전으로 업데이트할 것을 권고했다.

미국 클라우드·사이버보안 기업 아카마이는 웹 애플리케이션·API 보안 제품에 보호조치를 배포하고 공격 시도를 모니터링하고 있다.

클라우드플레어는 취약점 공개 전인 10월 초부터 웹방화벽(WAF) 보호 규칙을 개발해 배포했다고 밝혔다. 구글클라우드도 PHP 애플리케이션을 운영하는 고객에게 보안 업데이트를 적용한 뒤 서비스를 재배포하도록 권고했다.

보안업계는 웹방화벽 등을 통한 공격 차단과 PHP 자체의 보안 업데이트를 병행해야 한다고 강조한다. 방화벽의 탐지·차단 규칙은 공격 시도를 걸러내는 역할을 하지만 PHP 내부의 결함을 해결하려면 수정 버전을 적용해야 하기 때문이다.

정부와 보안업계는 인터넷에 노출된 시스템을 우선 점검하고, 구형 PHP를 사용하는 시스템은 지원되는 버전으로 전환할 것을 촉구하고 있다. 업데이트 이후에도 비정상적인 접속 기록이나 원격 제어용 악성 파일 설치 여부 등 침해 흔적을 확인해야 한다.

sumin02@news1.kr