내 웹사이트도 위험할까···PHP 보안 취약점 발견에 국내외 '비상'

국내 및 해외 정부, 사이버위기 경보 상향

공격 가능 코드 공개, 긴급 대응 필요

PHP 보안 취약점 발견으로 전 세계 사이버위기 비상. 그래픽=박혜수 기자

전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 로그인이나 별도 인증 없이 서버 명령을 실행할 수 있는 보안 취약점이 발견되면서 국내외에 비상이 걸렸다. 공격에 악용될 수 있는 코드까지 공개되자 정부는 민간 분야 사이버위기 경보를 상향하고 기업과 기관에 긴급 보안 조치를 당부했다.

22일 과학기술정보통신부와 한국인터넷진흥원(KISA)에 따르면 정부는 위기평가 회의를 거쳐 이날 낮 12시를 기해 민간 분야 사이버위기 경보를 기존 '관심'에서 '주의'로 상향했다. PHP가 국내 다수의 홈페이지에 사용되는 데다 공격 코드가 공개돼 신속한 대응이 필요하다는 판단에서다.

경보 상향에 따라 정부는 침해사고 대응 인력을 늘리고 비상출동조를 상시 대기시키는 등 비상대응 체계를 가동했다. 정보보호 최고책임자(CISO) 신고기업 약 2만8000곳과 사이버위협정보 공유체계(C-TAS) 회원사 약 5900곳, 주요정보통신기반시설, 정보보호 관리체계(ISMS) 인증기업, 웹호스팅 업체 등에도 보안 조치를 안내했다.

정부는 국내외 보안업계와 협력해 공격 동향을 감시하고 중소기업의 긴급 보안 패치를 지원하는 방안도 검토하고 있다. 배경훈 부총리 겸 과학기술정보통신부 장관은 인터넷에 노출된 시스템의 접근을 차단하고 웹방화벽 규칙을 선제적으로 적용하는 등 신속한 대응이 필요하다고 강조했다.

이번 취약점은 개별 홈페이지 프로그램이 아닌 PHP 자체에서 발견됐다. PHP 개발팀은 지난 21일(현지시간) 원격 코드 실행이 가능한 취약점 2건을 해결한 보안 업데이트를 배포했다. 해당 취약점을 악용하면 공격자가 인증 절차 없이 서버에서 임의의 코드를 실행할 수 있어 정보 탈취와 홈페이지 변조, 서비스 장애 등으로 이어질 가능성이 있다.

KISA에 따르면 이번 취약점은 CVE-2026-109618과 CVE-2026-109619 등 2건이다. 영향을 받는 버전은 PHP 8.2.35 미만, 8.3.36 미만, 8.4.27 미만, 8.5.12 미만이다. PHP 개발팀은 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 버전에서 수정 사항을 제공했다.

기업과 기관은 운영 중인 PHP 버전을 확인해 해당 수정 버전 이상으로 업데이트해야 한다. PHP 8.1 이하 버전은 공식 보안 지원이 종료된 만큼 지원되는 버전으로 전환할 필요가 있다. 다만 일부 운영체제 배포판이나 장기지원 업체가 별도로 보안 수정 사항을 제공할 수 있어 사용 중인 제품의 업데이트 안내도 확인해야 한다.

보안 패치를 적용한 뒤에는 웹서비스를 재시작하고, 비정상적인 접속 기록이나 웹셸 설치 여부 등 침해 흔적도 점검해야 한다. 오래전에 제작한 홈페이지와 외주 제작 쇼핑몰, 장비 관리 페이지 등도 점검 대상이다. 웹호스팅 서비스를 이용하는 사업자는 서비스 제공 업체에 패치 적용 여부를 확인하고, 피해가 의심되면 KISA에 신고해야 한다.

해외에서도 긴급 보안 조치가 이어지고 있다. 미국 국가안보국(NSA)과 영국 국가사이버보안센터(NCSC) 등은 취약한 시스템을 확인해 보안 업데이트를 적용하도록 권고했다. 즉시 조치하기 어려운 시스템은 위험이 해소될 때까지 네트워크 연결을 차단하거나 오프라인으로 전환하는 방안도 제시됐다.

외신에 따르면 네덜란드와 핀란드 등 일부 유럽 국가에서는 예방 차원에서 공공기관 등의 웹서비스 운영을 중단하는 조치가 이뤄졌다. 이는 취약점 악용 가능성에 대비한 선제적 대응으로, 모든 관련 시스템에서 실제 해킹 피해가 확인됐다는 의미는 아니다.

이번 취약점은 기업과 기관의 보안 패치 적용 속도와 시스템 관리 체계의 중요성을 다시 부각하고 있다. 특히 자체 보안 인력이 부족한 중소기업은 외부 개발사와 웹호스팅 업체를 통해 운영하는 시스템까지 점검해야 한다. 정부는 보안 업데이트 적용과 침해 흔적 확인을 통해 피해 확산을 막는 데 대응 역량을 집중할 방침이다.