웹사이트 70% 쓰는 PHP 보안 비상…美·EU 당국 공동 긴급 권고 작성일 10-22 58 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">PHP 원격 코드 실행 취약점 2건 발견…美 NSA·FBI "즉시 패치 못하면 오프라인 전환"</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="7dQtq2IkWI"> <figure class="figure_frm origin_fig" contents-hash="4d0111fdd78574222a38809cd6a25698e791e6e674de58e76d8b254ca52ca5a1" dmcf-pid="zJxFBVCEWO" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/22/552796-pzfp7fF/20261022055319852rpon.jpg" data-org-width="640" dmcf-mid="uCrQLjUZCC" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/22/552796-pzfp7fF/20261022055319852rpon.jpg" width="658"></p> </figure> <p contents-hash="e0e25a72b9908effc93c657b6b8425b40db3f05629bc242ec55b69205464cab5" dmcf-pid="qiM3bfhDhs" dmcf-ptype="general">[디지털데일리 이상일기자] 웹사이트 개발 언어 PHP에서 원격 코드 실행이 가능한 치명적 보안 취약점 2건이 발견됐다. 미국 국가안보국(NSA)과 연방수사국(FBI)은 21일(현지시간) 즉시 업데이트할 수 없는 시스템은 오프라인으로 전환하라고 권고했다. 유럽연합(EU) 사이버보안 기관들도 공동으로 긴급 조치를 당부했다.</p> <p contents-hash="45d004170f27cb42c94de580ca0efc51e60e4e570be6fd39a227339675472463" dmcf-pid="BnR0K4lwWm" dmcf-ptype="general">PHP는 웹사이트와 웹 애플리케이션을 구동하는 서버용 프로그래밍 언어다. 전 세계 웹사이트의 70% 이상이 PHP를 쓰는 것으로 알려져 있다. 이번 취약점의 식별번호는 CVE-2026-109618과 CVE-2026-109619다. FBI에 따르면 공격자는 이 취약점으로 PHP 핵심 엔진에서 원격으로 코드를 실행할 수 있다. EU 기관들은 인증 절차 없이도 악성 코드 실행이 가능하다고 설명했다. 민감한 데이터와 내부 네트워크가 위험에 노출될 수 있다는 의미다.</p> <p contents-hash="7dbfb69a80f4fa3ab35d226e243540f7677bf2a04b2bf7ed7acb73bfc2f26fa0" dmcf-pid="bLep98SrCr" dmcf-ptype="general">NSA는 이날 소셜미디어 엑스(X)를 통해 "시스템에 PHP를 사용하는 모든 기관과 기업은 두 가지 중대한 취약점을 해결하기 위한 업데이트를 준비할 것을 권고한다"고 밝혔다. 이 취약점이 서버의 파일 시스템이나 데이터베이스로 직접 연결되는 경로를 제공하는 경우가 많다고 경고했다. 즉시 업데이트가 어려우면 완화 조치를 마칠 때까지 시스템을 오프라인으로 돌리라고 했다. NSA는 구체적인 후속 지침을 곧 내놓겠다고 밝혔다.</p> <p contents-hash="20d5774f1ab8bbb0dace113298776003e4576b87b6f05a7e2a5259120cf93dad" dmcf-pid="Kai7fQyOhw" dmcf-ptype="general">FBI는 4가지 대응 수칙을 제시했다. 첫째, 즉시 업데이트할 수 없으면 시스템을 오프라인으로 전환한다. 둘째, PHP 공식 사이트 안내에 따라 영향받는 PHP를 바로 업데이트한다. 인터넷에 노출된 시스템과 PHP를 내장한 외부 업체 제품을 우선 점검한다. 셋째, PHP 프로세스가 명령 셸을 실행하거나 파일을 내려받는 등 이상 행위를 감시한다. 넷째, 침해 징후가 보이면 시스템을 격리하고 웹 서버와 PHP 로그를 보존한 뒤 FBI에 신고한다.</p> <p contents-hash="7d0f9204c89206522732ed057d7a2f0046f3a88685fc3329bc709acff2c15a92" dmcf-pid="9Nnz4xWISD" dmcf-ptype="general">FBI는 최신 정보 확인 경로로 PHP 공식 사이트 공지, CERT-EU 보안 고시 2026-018, 미국 사이버보안·인프라보안청(CISA)의 알려진 악용 취약점 목록을 제시했다.</p> <p contents-hash="0e4983b177a58d030b50f3d8e293bf15f6165514da05c4f07c72cc786086a612" dmcf-pid="2jLq8MYChE" dmcf-ptype="general">PHP 보안팀은 21일 오후 1시40분(UTC·한국시간 21일 밤 10시40분) 보안 업데이트를 공개했다. 영향받는 버전과 수정 버전, 기술 세부 내용은 PHP 공식 사이트에 게시됐다.</p> <p contents-hash="cd26bd1e530eee77349933f321831b7af8a0484520ae92f8e19ce698ec0ece0e" dmcf-pid="VAoB6RGhlk" dmcf-ptype="general">EU 집행위원회와 유럽연합 사이버보안청(ENISA), CERT-EU, 유로폴 EC3, EU 회원국 침해사고대응팀(CSIRT) 네트워크는 공동 권고를 냈다. 이들은 PHP를 직접 쓰지 않는 것처럼 보이는 상용·오픈소스 제품도 내부에 PHP를 포함해 영향을 받을 수 있다고 지적했다. 해당 제품 목록은 네덜란드 국가사이버보안센터(NCSC-NL)가 깃허브(GitHub) 저장소로 공개하고 있다. ENISA는 회원국 권고를 별도로 모아 공개했다. 이 위협을 계속 감시하겠다는 방침이다.</p> <p contents-hash="9319e6b579b136b0e1bfe198bdd65d796941c444249ef8b8d451c5bd80f3baeb" dmcf-pid="fcgbPeHlhc" dmcf-ptype="general">EU는 제조업체의 신고 의무도 상기시켰다. 사이버복원력법(CRA)에 따라 9월11일부터 하드웨어·소프트웨어 제조업체는 실제 악용 중인 취약점을 단일 보고 플랫폼에 신고해야 한다. 설계 단계부터 보안을 반영하도록 한 CRA 핵심 요건은 2027년 12월11일부터 적용된다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 유엔, 군사 AI 국제 포럼 22일 출범…"핵 영역서도 인간 판단 여지 좁아져" 10-22 다음 제자리 맴도는 방발기금 개편…연구반, 10개월간 회의 단 2번 10-22 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
