전 세계 웹사이트 뒤흔든 PHP 보안 취약점…영세업체 ‘비상’ 작성일 10-22 46 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">인증 없이 서버 침투 가능한 취약점 2건<br>KISA·안랩 등 긴급 업데이트 진행 촉구<br>구형 PHP 사용 업체 보안 사각지대 우려</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="qEuu76vmh2"> <figure class="figure_frm origin_fig" contents-hash="a5c648b3b1b76ef2c429da52560c61dbb6ba4015ea7c67d14409b50bf32e2057" dmcf-pid="BD77zPTsh9" dmcf-ptype="figure"> <p class="link_figure"><img alt="생성형 AI로 만든 이미지." class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/22/seouleconomy/20261022090115629ilbt.png" data-org-width="860" dmcf-mid="zZddJEqFhV" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/22/seouleconomy/20261022090115629ilbt.png" width="658"></p> <figcaption class="txt_caption default_figure"> 생성형 AI로 만든 이미지. </figcaption> </figure> <p contents-hash="ecf431f7f58e39b00e337fc97df18de950e53de06f23ec285e6a4e87171b897b" dmcf-pid="bwzzqQyOhK" dmcf-ptype="general">웹사이트 제작에 널리 쓰이는 프로그래밍 언어 ‘PHP’에서 최고 수준의 보안 취약점이 발견되면서 전 세계 정보기술(IT) 업계에 비상이 걸렸다. 외부 공격자가 별도의 인증 없이 웹서버에서 악성코드를 실행할 수 있는 취약점으로, 상대적으로 보안 관리에 허술한 영세 쇼핑몰과 중소기업 홈페이지 등이 해킹 위험에 노출될 수 있다는 우려가 나온다.</p> <p contents-hash="6dfdc2b126f6c7339dc04c3e9aa79026c42cd3c24d33f60843217d9f38a87b78" dmcf-pid="KrqqBxWIvb" dmcf-ptype="general">22일 보안업계에 따르면 PHP에서 치명적인 원격 코드 실행(RCE) 취약점 2건이 발견돼 전 세계적으로 긴급 보안 대응이 이뤄지고 있다. PHP는 웹 개발에 널리 쓰이는 프로그래밍 언어로, 웹 기술 분석업체 W3Techs에 따르면 서버 측 프로그래밍 언어를 확인할 수 있는 전 세계 웹사이트의 약 70%가 PHP를 사용한다.</p> <p contents-hash="d2f7dce7e15e0e7f0ea804821b4d8a8eb5e9e655b7e1aafa0d1ad130761daa6e" dmcf-pid="9mBBbMYCTB" dmcf-ptype="general">미국 국가안보국(NSA)은 전날 공식 권고문을 통해 PHP를 사용하는 모든 기관과 기업에 긴급 보안 업데이트를 주문했다. NSA는 “이러한 취약점은 서버의 파일 시스템이나 데이터베이스에 직접 접근할 수 있는 경로를 제공할 수 있다”며 “즉각적인 업데이트가 불가능하다면 취약점이 완전히 해결될 때까지 해당 시스템을 오프라인 상태로 전환할 것을 권고한다”고 경고했다. 미국 연방수사국(FBI)도 해커들이 PHP의 취약점을 악용해 원격으로 코드를 실행할 수 있다며 민감한 정보와 네트워크가 침해될 위험을 지적했다.</p> <p contents-hash="66fe122fd90563fbb2ff9a714ffb6961db3af9661d73c5fd7798be9ea4b3ebce" dmcf-pid="21iinwb0Wq" dmcf-ptype="general">이번에 발견된 취약점은 예외 상황을 제대로 처리하지 못하는 ‘부적절한 예외 상황 처리’(CVE-2026-109618)와 이미 해제된 메모리를 다시 참조하는 ‘해제 후 사용’(CVE-2026-109619) 등 2건이다. 두 취약점 모두 국제 보안 취약점 평가체계(CVSS) 4.0 기준 10점 만점에 9.2점으로, 가장 높은 위험 등급인 ‘치명적’(Critical)에 해당한다.</p> <p contents-hash="69b387f0d0a8b6059aa6809e722da28a4a5d3231f868dacb1c26b8b4b55c9c32" dmcf-pid="VtnnLrKpWz" dmcf-ptype="general">PHP 개발진은 전날 두 취약점을 해결한 보안 패치를 긴급 배포했다. PHP 8.2는 8.2.35, 8.3은 8.3.36, 8.4는 8.4.27, 8.5는 8.5.12 미만 버전이 영향을 받는다. 공식 보안 지원이 종료된 PHP 8.1 이하 구형 버전 역시 취약점의 영향권에 포함된다.</p> <p contents-hash="9e538f68443920b627b12deeec4a275df62b97a63060c050ca2d94122380a98c" dmcf-pid="fFLLom9US7" dmcf-ptype="general">국내에서도 긴급 대응에 나섰다. 한국인터넷진흥원(KISA)은 전날 PHP 제품에 대한 보안 업데이트 권고문을 발표하고 영향을 받는 버전의 이용자들에게 최신 보안 패치 적용을 당부했다. 특히 PHP 8.1 이하 버전은 공식 보안 지원이 종료된 만큼 지원 중인 버전으로 업그레이드할 것을 권고했다. 국내 보안업체 <span stockcode="053800">안랩(053800)</span> 역시 긴급 공지를 통해 원격 코드 실행 위험을 경고하고 신속한 보안 업데이트를 주문했다.</p> <p contents-hash="a365396c28f1d98b8b852a396d5c8ac8960a1f3dc608b2b37de07f2333188827" dmcf-pid="43oogs2uhu" dmcf-ptype="general">문제는 보안 관리 인력과 역량이 부족한 중소기업이나 영세 쇼핑몰이다. 자체적으로 서버를 관리하거나 오래된 PHP 버전을 사용하는 경우 보안 업데이트가 지연될 수 있어서다. 특히 제작 이후 장기간 관리되지 않은 홈페이지는 취약점을 방치한 채 운영될 가능성이 있어 각별한 주의가 요구된다.</p> <p contents-hash="e9c5f88104f1ca11958874adc17fb25808c5316dfbc807ecb0ee4c724a8fc823" dmcf-pid="80ggaOV7vU" dmcf-ptype="general">사이버보안 기업 티오리의 박세준 대표는 전날 페이스북을 통해 “한국은 게시판 제작도구인 그누보드나 오래된 쇼핑몰처럼 PHP 5, 7 버전에 멈춰 있는 사이트가 많아서 더 주의가 필요하다”고 지적했다. 이어 “예전에 만들어 두고 잊은 사이트, 외주로 만든 쇼핑몰, 장비 관리 페이지에도 PHP가 숨어 있을 수 있다”며 사용 현황을 점검하고 즉시 업데이트와 보안 패치를 적용할 것을 당부했다. 아울러 신속한 패치가 어렵다면 외부 접속을 임시로 차단하는 방안도 고려해야 한다고 강조했다.</p> <p contents-hash="010400d78529c7285d108758e6e8024a8fe482f08aca228e16d1d0a03817da11" dmcf-pid="6paaNIfzhp" dmcf-ptype="general">이진석 기자 ljs@sedaily.com</p> </section> </div> <p class="" data-translation="true">Copyright © 서울경제. 무단전재 및 재배포 금지.</p> 관련자료 이전 [인터뷰] 디노 스털컬제빅 인텔 "AI PC 비중 50% 돌파, NPU 수치 집착 말라" 10-22 다음 카페24, 자사몰 에이전틱 커머스 시대 연다…국내 첫 ‘웹MCP’ 적용 10-22 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
