[PHP 비상] 배경훈·이해민, 정부인사도 긴급 당부…사이버경보 ‘주의’ 상향 작성일 10-22 44 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="0R9LtVCEhg"> <figure class="figure_frm origin_fig" contents-hash="b18e486a8db154b5540a60424695276b3b54db11252acb8d80a01edda35c4f8d" dmcf-pid="pe2oFfhDho" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/22/552796-pzfp7fF/20261022133445108blln.jpg" data-org-width="640" dmcf-mid="3vDHJrKpWa" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/22/552796-pzfp7fF/20261022133445108blln.jpg" width="658"></p> </figure> <p contents-hash="918814a47bc62b3cac325be00482c934c3b5ee2cc1ce75c6ee3b6b8703004042" dmcf-pid="UdVg34lwhL" dmcf-ptype="general">[디지털데일리 오병훈기자] 전 세계 웹서비스에 광범위하게 사용되는 프로그래밍 언어 ‘PHP’에서 치명적인 보안 취약점이 발견되면서 정부가 대응 수위를 끌어올렸다.</p> <p contents-hash="31cc7869ec367c5f29fb95e276b1fd74c4b34f47d85c71487f21233ad0e9cfa5" dmcf-pid="uJfa08Srhn" dmcf-ptype="general">배경훈 부총리 겸 과학기술정보통신부 장관과 이해민 대통령비서실 AI미래기획수석비서관도 잇달아 소셜미디어(SNS)를 통해 기업·기관의 긴급 대응을 촉구했다.</p> <p contents-hash="89edf04350bbc96246a4c049339428345711c215a9249e823318a598af1fb3f3" dmcf-pid="7i4Np6vmvi" dmcf-ptype="general">이 수석은 22일 자신의 SNS에 “PHP 보안 취약점으로 인한 피해 우려가 확산되고 있다”며 “정부는 이 사항을 매우 심각하게 보고 있으며 관련 기관 대응책을 가동 중”이라고 밝혔다.</p> <p contents-hash="9f9016239f7f5ec4c7327d0b3e3d6d0499a10942e7dfc9daaa5f72fd5308cf35" dmcf-pid="zn8jUPTsTJ" dmcf-ptype="general">이 수석은 게시글로 보안업체 위즈(Wiz) 리서치가 공개한 ‘PHP2Shell’ 분석도 함께 공유했다.</p> <p contents-hash="c9d9cdfcf848d4b76d8aae8e1e657373bfdb6c2256d8c7cf92c41934afe8301a" dmcf-pid="qL6AuQyOWd" dmcf-ptype="general">배 부총리도 홈페이지와 웹서비스를 운영하는 기업·기관에 PHP 사용 여부를 즉시 확인하고 보안 업데이트를 적용해달라고 당부했다. 업데이트가 어려울 경우 외부 접속 차단이나 서비스 일시 중단까지 검토하고, 침해가 의심되면 한국인터넷진흥원(KISA)에 즉시 신고하도록 했다.</p> <p contents-hash="813fa96af906d1566e288df258c9da9a19944871ba2ac4d40cb0e78f23e6e7d5" dmcf-pid="BlkYeDB3ye" dmcf-ptype="general">이번에 공개된 취약점은 CVE-2026-109618과 CVE-2026-109619 등 2건으로 위험도 점수(CVSS)는 9.2다.</p> <p contents-hash="17eb02b2cb35b6fe5781d5dfcfec024bb23a0d9cf29d5035f5eee8f18b66b658" dmcf-pid="bSEGdwb0lR" dmcf-ptype="general">개별 홈페이지나 콘텐츠관리시스템(CMS)이 아닌 PHP 자체에서 발생하는 문제다. 공격자는 별도 로그인 없이 특수하게 조작한 요청을 보내 서버에서 악성 명령을 실행할 수 있다.</p> <p contents-hash="8c5d672675d37cd16f138c6f614b4d1515d105a8f66849276f2ed9111226d3ea" dmcf-pid="KvDHJrKphM" dmcf-ptype="general">공격에 성공할 경우 웹셸 설치부터 고객정보 유출, 홈페이지 변조, 내부망 침투 등으로 피해가 확산될 수 있다는 분석이다.</p> <p contents-hash="40c6af3aca59e5fe489c8cc6963c150857bd4e0bf63ab3abec6d87f804b557ae" dmcf-pid="9TwXim9Uyx" dmcf-ptype="general">위즈 리서치는 해당 취약점을 ‘PHP2Shell’로 명명했다. PHP 코어 엔진의 메모리 처리 과정에서 발생하는 문제를 이용해 워드프레스·드루팔·줌라 등에서 인증 없이 원격코드실행(RCE)이 가능하다는 것을 시연했다. 단순 CMS 취약점이 아니기 때문에 상위 애플리케이션 코드가 안전하게 작성돼 있더라도 영향을 받을 수 있다는 설명이다.</p> <p contents-hash="005144f14bee761f8b8886170d70f9d10cb29fe3a47c78680d853f499f54e9ad" dmcf-pid="2yrZns2uCQ" dmcf-ptype="general">PHP 개발팀은 21일 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 등 보안 패치가 적용된 버전을 긴급 배포했다. PHP 8.1 이하 버전은 공식 보안 지원이 종료된 만큼 지원되는 상위 버전으로 전환해야 한다. KISA도 같은 날 국내 이용자를 대상으로 즉각적인 업데이트를 권고했다.</p> <p contents-hash="6a538c5c31f84ef04477df0daf2e1ce22aea84a49fde97a83763afec95f3837d" dmcf-pid="VWm5LOV7CP" dmcf-ptype="general">과기정통부는 PHP 취약점에 따른 대규모 해킹 가능성을 고려해 이날 낮 12시를 기점으로 민간 분야 사이버위기 경보를 기존 ‘관심’에서 ‘주의’로 한 단계 상향했다.</p> <p contents-hash="7eff8e00f1915d4057602f44f868db218dbf1db452c8f8a06e0e767885b831ff" dmcf-pid="fYs1oIfzh6" dmcf-ptype="general">이에 따라 침해대응 인력을 증원하고 비상출동조를 상시 대기시키는 비상대응 체계도 가동한다. CISO 신고기업과 주요정보통신기반시설, ISMS 인증기업, 웹호스팅·인터넷데이터센터(IDC) 사업자 등에도 관련 내용을 긴급 전파했다.</p> <p contents-hash="e9ff02a644f3a54361e27d692b3ff039280aa76d7778a9225e12772b3458c9d7" dmcf-pid="4GOtgC4qh8" dmcf-ptype="general">인터넷에 노출된 자산에 대한 즉각적인 차단과 웹방화벽(WAF) 룰셋 선제 적용 등 자동화 대응체계가 필요하다며, 관계 부처와 중소기업 대상 보안점검 및 조치 방안도 논의할 계획이라고 밝혔다.</p> <p contents-hash="52f52476af237b6e871f1d9bd94c23458f422d5f6ef867ada746f9b7ddbf09db" dmcf-pid="8HIFah8Bl4" dmcf-ptype="general">배 부총리는 “이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고 공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다”며 “기존의 수동 점검 후 수일 내 패치라는 통상적인 취약점 관리 주기로는 공격을 방어할 수 없다”고 강조했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 경제계 “피지컬 AI 지원법 연내 통과 시급”…내년 AI 정책과제 11건 건의 10-22 다음 올해 벌써 1조 넘게 긁었다니…어느새 '업무 필수템' 됐다 [테크로그] 10-22 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
