PHP 취약점에 전세계 웹사이트 해킹 비상…DoS 악용 가능성도 (종합) 작성일 10-22 50 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="65xYU4lwh2"> <p contents-hash="b4bbaa3d29c6363c2e3bb6a9731271d09bc244e14dffdb91b38b64cbd40c95f7" dmcf-pid="P1MGu8Srv9" dmcf-ptype="general"><strong>美·EU</strong>·<strong>한국도 긴급 권고…메모리 관련 허점 발견</strong></p> <div contents-hash="1c2f4c41f2f0d7acbcab40c416e58154626792613cd00bb6ddc983eca3aa8cf6" dmcf-pid="QtRH76vmTK" dmcf-ptype="general"> <strong>KISA, 긴급 업데이트 권고에 세부 보안수칙 준비</strong> </div> <figure class="figure_frm origin_fig" contents-hash="4dc3ada7dca865d54e1d384de5aa38bae57fcfc9dbaa0758904694b60413d4a4" dmcf-pid="xFeXzPTsvb" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/22/552796-pzfp7fF/20261022101220078qtch.jpg" data-org-width="640" dmcf-mid="fCabMjUZl4" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/22/552796-pzfp7fF/20261022101220078qtch.jpg" width="658"></p> </figure> <p contents-hash="a7a506d54e44fef19606ef1b6485bad1b42c4afea022cde16cdeb37cd4cd0960" dmcf-pid="ygGJEvQ9hB" dmcf-ptype="general">[디지털데일리 김보민기자] 웹사이트 개발 언어 PHP에서 원격코드실행(RCE)이 가능한 치명적 보안 취약점이 2건 발견됐다. 미국, 유럽연합(EU)에 이어 한국도 긴급 조치를 당부하면서 파장이 이어지는 분위기다.</p> <p contents-hash="ed22b75573596e1b9d7f37918ec9f3a9eab23fe26b7a0792dc5a352e3ed8a689" dmcf-pid="WaHiDTx2Cq" dmcf-ptype="general">보안업계에서는 전 세계 웹사이트 대다수가 PHP를 쓰고 있는 만큼 즉각 대응이 필요하다는 의견이 제기된다. 국내에서는 서비스거부공격(DoS)과 같은 추가 피해가 발생할 가능성을 고려해 보안수칙 등을 추가로 공지할 예정이다.</p> <p contents-hash="3b08ecc0d44ac1b9b8cedc20b98448a9311e614a457b77ed7b9e39e595137c37" dmcf-pid="YNXnwyMVSz" dmcf-ptype="general"><strong>◆ "업데이트 어려우면 오프라인 전환하라"…메모리 취약점에 비상</strong></p> <p contents-hash="65b6f10da1e62d5bde648be099de890a3b393d1b4bb76753193725fee2cbc1b1" dmcf-pid="GSKOH7EoS7" dmcf-ptype="general">21일(현지시간) 미국 국가안보국(NSA)과 연방수사국(FBI)은 이번 PHP 취약점과 관련해 즉시 업데이트할 수 없는 시스템은 오프라인으로 전환하라고 권고했다. EU 사이버보안 기관들도 공동으로 긴급 조치를 당부했다.</p> <p contents-hash="5116e3e8651f31ebb0a295788902b910546f23058d2d151c1856daa741df9de2" dmcf-pid="Hv9IXzDglu" dmcf-ptype="general">PHP는 웹사이트와 웹 애플리케이션을 구동하는 서버용 프로그래밍 언어로, 전 세계 웹사이트 70% 이상이 이를 사용하고 있는 것으로 알려졌다. 국내도 대응에 돌입했다. 한국인터넷진흥원(KISA) 디지털위협대응본부는 이날 홈페이지를 통해 'PHP 제품 보안 업데이트 권고'를 안내했다.</p> <p contents-hash="64a7220b6de297dc06599450e18f34b7a71a2549a09aa0e4c36a32417232b130" dmcf-pid="XT2CZqwavU" dmcf-ptype="general">이번에 문제가 된 취약점은 PHP에서 발생하는 'CVE-2026-109618(Improper Handling of Exceptional Conditions 취약점)'과 'CVE-2026-109619(Use After Free 취약점)'이다. 두 취약점은 모두 <strong>메모리</strong>와 관련돼 있다는 특징이 있다.</p> <p contents-hash="0d1539cd1267a2778b824ee219d1f765c5d68d111b41da4e00ef0f4b2bc3639d" dmcf-pid="ZyVh5BrNhp" dmcf-ptype="general">통상 메모리에 오류와 비정상 입력이 발생할 경우 '할당'·'실패'와 같은 예외처리를 하는 로직이 발현돼야 하지만, 이를 정상적으로 처리하지 못할 경우 해당 취약점이 악용될 수 있다.</p> <p contents-hash="a53862be78b6657fdb8a1baa3ca164c8338c40a7df0a1608d35c61c225348e69" dmcf-pid="5Wfl1bmjv0" dmcf-ptype="general">이는 RCE는 물론 DoS 및 해킹 공격에 악용될 가능성이 있다. DoS는 목표 서버와 네트워크에 감당할 수 없는 양의 트래픽을 보내거나 시스템 취약점을 악용해, 정상적인 사용자가 해당 서비스를 접속하거나 이용하지 못하도록 마비시키는 공격 기법이다.</p> <div contents-hash="f06818c086a44e74baae8a31f02a92586352d2b2530746add4f10d4fc44b8384" dmcf-pid="1Y4StKsAy3" dmcf-ptype="general"> 메모리 해제가 누락되는 취약점도 발견됐다. 메모리는 통상 작업이 끝나거나 시간이 지나면 자연스럽게 휘발되고, 이 현상을 '해제 처리(free)'됐다고 표현한다. 해당 취약점은 해제 처리가 정상적으로 작동하지 않아 기록을 남기는 현상을 일으킬 수 있다. 이를 방치할 경우, 다음 작업이 수행될 때 시스템을 정상적으로 초기화하기 전에 남아있는 기록을 활용할 가능성이 있다. </div> <figure class="figure_frm origin_fig" contents-hash="e8098a3659c2b0da22456e3bf5a508804d865bc0d1a7c2b56959bf24fae98e89" dmcf-pid="tG8vF9OcTF" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/22/552796-pzfp7fF/20261022101221365ixgl.jpg" data-org-width="640" dmcf-mid="8XOfiDB3vV" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/22/552796-pzfp7fF/20261022101221365ixgl.jpg" width="658"></p> </figure> <p contents-hash="f65a2dc7ffd749370de8250f201ab81c5904b5663795be207778c68290c67d84" dmcf-pid="FH6T32Ikyt" dmcf-ptype="general"><strong>◆ 취약점 유출, 패치보다 빨랐다…적용 시차 따른 보안공백 우려</strong></p> <p contents-hash="9541b893ded141935d80dbe4af552da0608ea84a723349dfb1713098e2331a79" dmcf-pid="3XPy0VCEv1" dmcf-ptype="general">PHP 개발진이 'PHP2셸(PHP2Shell)'이라고 명명한 이번 취약점은 과거에도 문제 가능성이 지적됐다.</p> <p contents-hash="ce3982b89b8dfc104544d6ac1c071702eb7df6ad0190b6805c8987303025116c" dmcf-pid="0ZQWpfhDW5" dmcf-ptype="general">보안기업 캘리프 소속 라이언 오스틴은 지난 8월 오픈AI 모델 GPT-5.6 솔을 활용해 PHP 소스코드를 검증하는 과정에서 이러한 취약점을 발견한 바 있다. 구글 위즈와 오픈AI 연구진도 관련 취약점 공격 방법을 발견했다. 그러나 악용 가능성이 낮다고 여겨져 사실상 방치돼 온 것으로 보인다.</p> <p contents-hash="b7b3785fcb04eab593add213821c35cdb8c811a62a26572d87790346c765de40" dmcf-pid="pw0Ah5LxyZ" dmcf-ptype="general">공식 보안 패치가 나오기 전 취약점 정보가 먼저 외부로 유출됐다는 점을 고려했을 때, 추가 피해도 배제할 수 없는 시점이다. 패치가 나왔지만 실제 서비스에 반영하기까지 시간이 소요될 전망이다.</p> <p contents-hash="6a4ab38130f9235f5d207139775524f16c89243ead81c9b7a838cbd7b04db64f" dmcf-pid="Urpcl1oMSX" dmcf-ptype="general">국내 보안 기업도 대응에 나섰다. 대표적으로 에버스핀은 취약점 공격 대응 기능을 활용해 해당 취약점을 차단하고 있다며 "기업의 취약점 대응은 보안 업데이트가 공개되는 것으로 끝나지 않는다"고 말했다. 이어 "서비스마다 쓰는 PHP 버전과 설정을 파악하고 패치가 기존 기능과 운영에 미치는 영향을 의존성, 호환성까지 점검한 뒤 실제 운영 환경에 반영해야 한다"고 제언했다.</p> <p contents-hash="1fd60956d7d2eb4760fe7d2aafe5f8ec4e61e742266ccee884be1b2edc555aad" dmcf-pid="umUkStgRSH" dmcf-ptype="general">세부 사항도 안내했다. 에버스핀은 "여러 시스템이 연결된 서비스일수록 이 과정에 시간이 걸린다"며 "PHP 정책상 보안 지원이 끝난 8.1 이하 버전에는 공식 패치가 제공되지 않아 버전 업그레이드까지 필요하다"고 강조했다. 그러면서 "패치를 적용하기 전까지 공격에 노출되는 위험을 줄이는 것이 중요한 이유"라고 덧붙였다.</p> <p contents-hash="b6fc70775c81d21ef5e282f707457d7b7cf1b51492738a5f64c72f73b867c507" dmcf-pid="7suEvFaevG" dmcf-ptype="general">한편 미국을 비롯한 주요국에서 업데이트가 어려운 시스템을 오프라인으로 전환하라는 권고문을 배포한 만큼, 한국 또한 세부적인 수칙을 마련할 전망이다. KISA는 보안수칙을 추가로 안내할 예정이다.</p> <p contents-hash="a4096200df72de997594012b9420a37a3233b1dfeb9e30242696cc1a9d74302c" dmcf-pid="zO7DT3NdhY" dmcf-ptype="general">민간뿐만 아니라 공공 웹사이트 또한 PHP를 사용하고 있는 것으로 전해지는 만큼, 전방위적 점검이 필요하다는 목소리도 제기된다. 한 보안업계 관계자는 "현 단계에서는 각 담당자가 보안 수칙을 기반으로 업데이트 등 후속 조치를 취하는 것이 중요할 것"이라고 말했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 선익시스템, 평택 브레인시티 신공장 준공… IT용 OLED·올레도스 생산 거점 확보 10-22 다음 LG이노텍, 엔비디아와 휴머노이드 ‘눈·손’ 개발… 센싱 솔루션 협력 확대 10-22 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
