전 세계 웹사이트에 널리 사용되는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견됐지만, 보안 인력이 부족한 중소기업은 자사 홈페이지가 위험한 상태인지 파악하기조차 쉽지 않다.

정부와 보안업계가 즉각적인 업데이트를 권고하는 가운데 실제 해킹을 준비하는 정황까지 포착되면서 보안 사각지대에 놓인 중소기업과 소상공인의 대응이 시급해졌다.

25일 보안업계에 따르면 지난 21일(현지시간) PHP에서 보안 취약점 2건(CVE-2026-109618, CVE-2026-109619)이 공개됐다. PHP 개발진은 취약점을 수정한 버전을 배포하고 즉각적인 업데이트를 강력히 권고했다.

이번 취약점은 공격자가 별도의 로그인이나 인증 절차 없이 인터넷을 통해 조작된 요청을 보내 서버에서 임의의 코드를 실행할 수 있다는 점에서 위험성이 크다. 공격에 성공하면 해커가 서버를 원격으로 제어해 데이터를 탈취하거나 홈페이지를 변조할 수 있다.

정부도 지난 22일 사이버위기 '주의' 경보를 발령하고 기업과 기관에 취약점이 해결된 PHP 버전으로 즉시 업데이트할 것을 권고했다.

실제로 이번 취약점을 악용한 사이버 공격을 준비하는 정황도 포착됐다. 글로벌 보안기업 사이퍼마(CYFIRMA)는 지난 22일 한국어를 사용하는 해킹 세력이 PHP 취약점을 이용한 공격 대상 선정과 사전 정찰 등을 논의한 정황을 확인했다고 밝혔다.

사이퍼마에 따르면 이들은 공개된 취약점 공격코드를 수집해 인공지능(AI)으로 활용 가능성을 평가하고, 25일까지 국가·산업별 첫 공격 대상 목록을 마련할 계획인 것으로 분석됐다.

취약점 파악부터 난관…구형 PHP 이용 소상공인은 전환 부담
그러나 보안 인력과 관리체계가 부족한 중소기업은 자사 시스템에 취약한 PHP 버전이 사용되는지 확인하고 신속하게 패치를 적용하는 데 어려움을 겪을 수 있다.

김승주 고려대 정보보호대학원 교수는 자신의 사회관계망서비스(SNS)를 통해 "지금은 취약점 보고서가 무엇을 의미하는지, 자신들도 영향을 받는지조차 파악하지 못하고 있을 중소기업과 학교를 집중적으로 도와주면 감사하겠다"며 "이들에 대해 취약점 해당 여부를 확인하고 필요한 조치를 취할 수 있도록 현장을 지원하는 일이 우선이 아닐까 한다"고 밝혔다.

염흥열 순천향대 정보보호학과 교수 역시 중소기업에는 자사 서비스의 취약점 해당 여부를 파악하고 즉시 패치를 적용할 보안 인력이 부족하다며 "공공에서 자사 서버에 중대 취약점이 존재하는지 여부를 파악하는 방법이나, 패치를 적용하는 절차 등을 지원해야 한다"고 말했다.

더 큰 문제는 PHP 8.1 이하 구형 버전을 사용하는 소상공인이다. 해당 버전은 공식 보안 지원이 종료돼 이번 취약점을 해결한 공식 업데이트가 제공되지 않는다. 따라서 보안 지원을 받는 상위 버전으로 전환해야 한다.

홈페이지 운영을 지원하는 호스팅업체가 이번 취약점에 대한 보안 패치를 적용했더라도 구형 PHP를 사용하는 고객은 별도의 버전 전환이 필요할 수 있다.

온라인 쇼핑몰 구축 서비스와 웹호스팅을 제공하는 카페24는 이번 PHP 보안 취약점 공개 이후 공식 보안 패치를 순차적으로 적용했다. 다만 PHP 8.1 이하 버전은 공식 지원이 종료돼 패치를 받을 수 없다며 이용자에게 상위 버전으로 변경할 것을 권고했다.

가비아 역시 이번 취약점에 대응하기 위한 PHP 보안 업데이트를 완료하고 구형 버전 이용자에게 상위 버전으로 전환할 것을 권고했다. 전환 방법도 안내했다.

다만 가비아는 공식 지원이 종료된 버전에 대해서도 버전별 특성에 맞춰 백포트 패치 또는 완화 조치를 적용했다고 밝혔다. 백포트 패치는 최신 버전에서 수정한 보안 결함을 구형 버전에도 적용하는 방식이다.

구형 PHP를 사용하는 소상공인은 버전 전환에 앞서 데이터를 백업하고, 전환 이후 웹사이트가 정상적으로 작동하는지 확인해야 한다. 기존 프로그램이나 플러그인이 새로운 PHP 버전과 호환되지 않으면 추가 수정 작업이 필요할 수 있다.

특히 온라인 쇼핑몰은 결제와 회원관리 등 주요 기능에 문제가 발생하면 영업에 차질을 빚을 수 있어 버전 전환 과정에서도 신중한 점검이 요구된다.


당장 업데이트 어렵다면 접근 제한·로그 점검 필요
당장 최신 버전으로 전환하기 어려운 PHP 8.1 이하 구형 버전 이용자는 외부 접근을 제한하고 침해 징후를 지속적으로 점검해야 한다.

안랩 관계자는 즉각적인 패치가 어렵다면 서비스에 미치는 영향을 검토한 뒤 인터넷을 통한 직접 접근을 제한하거나 외부 노출을 최소화하는 조치를 우선할 것을 권고했다.

웹 애플리케이션 방화벽(WAF)을 활용해 공격 시도를 탐지하고 차단하는 것도 중요하다.

웹서버와 WAF의 접속 기록을 지속적으로 점검해 반복적인 요청, 비정상적인 파일 업로드 시도, 메모리 부족(OOM) 오류, 예기치 않은 프로세스 실행 등 침해 징후가 있는지 확인해야 한다.

웹서버가 침해되더라도 피해가 다른 시스템으로 확산하지 않도록 데이터베이스 접근 권한을 최소화하고 내부 네트워크를 분리하는 등 기본적인 보안 조치도 병행해야 한다.

한편 한국인터넷진흥원(KISA) 관계자는 이번 PHP 보안 취약점과 관련해 접수된 공격 사례는 없다며 모니터링을 지속하고 있다고 밝혔다.

sumin02@news1.kr