PHP 보안 우려에 정부, 사이버 위기 경보 ‘관심’→‘주의’ 상향 작성일 10-22 20 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">PHP 구버전, 공식 업데이트 제공 안 돼<br>정부 “침해 흔적 발견 시 즉시 신고해야”<br>“기존 수동 점검으론 공격 방어 못 해”</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="zWUzmXiPTo"> <figure class="figure_frm origin_fig" contents-hash="2279d77960cd27970630878a08254a5fb102994cb1bd8e50dc26b92b9d65b56b" dmcf-pid="qYuqsZnQWL" dmcf-ptype="figure"> <p class="link_figure"><img alt="사진=배경훈 부총리 겸 과학기술정보통신부 장관 엑스(X) 캡쳐" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/22/seouleconomy/20261022133226062jwny.jpg" data-org-width="1080" dmcf-mid="7Adn34lwvg" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/22/seouleconomy/20261022133226062jwny.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 사진=배경훈 부총리 겸 과학기술정보통신부 장관 엑스(X) 캡쳐 </figcaption> </figure> <p contents-hash="50901ff111128a7a62349d16390593c457e519d34a8094b25e4ebb077f707936" dmcf-pid="BG7BO5LxSn" dmcf-ptype="general">전 세계 웹사이트 제작에 널리 쓰이는 프로그래밍 언어 PHP에서 심각한 보안 취약점이 발생하면서 정부가 민간 분야 사이버 위기 경보를 2단계로 상향했다. 정부는 PHP를 이용하는 국내 기업·기관에 보안 업데이트를 즉시 적용하라고 요청했다.</p> <p contents-hash="e6a3844ca1dfdfa893edc9b8083a77712a4a4c3db3f602e65fa58ac3f09bc664" dmcf-pid="bu6xHBrNCi" dmcf-ptype="general">배경훈 부총리 겸 과학기술정보통신부 장관은 22일 자신의 엑스(X)에 “PHP에서 발견된 심각한 보안 취약점 2건은 로그인 없이도 외부에서 서버에 악성 명령을 실행할 수 있는 취약점”이라며 “피해 예방을 위해 낮 12시부터 민간 분야 사이버 위기 경보를 ‘관심’에서 ‘주의’로 상향한다”고 말했다. 사이버 위기 경보 ‘주의’ 단계는 총 4단계 중 2단계 경보로 발령 시 한국인터넷진흥원(KISA) 등은 침해 대응 인력을 증원하고 비상 출동조를 상시 대기시키는 등 비상 대응 체계를 가동하게 된다.</p> <p contents-hash="64dd84deefac99e09e7256467423ee1ee3ea26d7fb6640c8b7b0cd864c60d879" dmcf-pid="K7PMXbmjyJ" dmcf-ptype="general">PHP는 홈페이지, 온라인 쇼핑몰, 게시판, 관리자 페이지 등 다양한 웹서비스를 만드는 데 사용되는 프로그래밍 언어다. 워드프레스, 그누보드 등 국내에서 많이 쓰이는 홈페이지 제작 도구도 PHP를 기반으로 작동한다.</p> <p contents-hash="1d9022a69efed94f9894e87fc0e3341b26e37ba5f4deeff059afea1678c0e72a" dmcf-pid="9zQRZKsAhd" dmcf-ptype="general">이번에 발견되 취약점은 공격자가 아이디나 비밀번호 없이 인터넷을 통해 특수하게 조작된 요청을 보내는 것으로 서버에 원하는 명령을 실행할 수 있어 위험도가 높다. 공격에 성공할 경우 고객 정보 유출, 홈페이지 마비 등 중대한 피해로 이어질 수 있다는 의미다. 특히 이번 취약점은 개별 홈페이지 프로그램이 아닌 PHP 자체의 보안 취약점이기 때문에 홈페이지 프로그램을 안전하게 만들었어도 영향을 받을 수 있다.</p> <p contents-hash="21aa075173868bfb71704a4514bec4b8e5360b9b561a4b8b2096b4de4be15f50" dmcf-pid="2qxe59OcCe" dmcf-ptype="general">이에 유럽연합(EU) 사이버 보안 기관, 영국·네덜란드·독일 등 주요국 사이버 보안 기관도 이번 취약점을 ‘치명적’ 등급으로 평가하고 즉시 업데이트를 권고한 상황이다. 업데이트가 당장 어려운 시스템에 대해서는 인터넷 분리 또는 일시 중단이 권고됐다. 국내 KISA 역시 PHP 개발팀이 보안 업데이트를 배포한 21일 보안 업데이트 권고문을 게시했다.</p> <p contents-hash="056f8da533e76c58d42f6a4b09bbd5f4067258729ce840a99b0c4bd9437c7fb3" dmcf-pid="VBMd12IklR" dmcf-ptype="general">이에 따라 PHP를 사용하는 기업·기관은 운영 중인 모든 홈페이지와 시스템의 PHP 버전을 확인하고 최신 버전으로 즉시 업데이트해야 한다. 업데이트 후에는 반드시 웹 서비스를 재시작해야 보안 조치가 적용된다.</p> <p contents-hash="0cb4da85f2537bd7637336230313ada83e0de25b403217471b48a2307fc3f42d" dmcf-pid="fbRJtVCEvM" dmcf-ptype="general">특히 PHP 8.1 이하 구버전은 공식 업데이트가 제공되지 않으므로 지원되는 상위 버전으로 전환해야 한다. 과기정통부는 “오래 전에 만들어 두고 관리하지 않는 홈페이지, 외주로 제작한 쇼핑몰, 장비 관리 화면 등에도 PHP가 사용되고 있을 수 있어 꼼꼼한 확인이 필요하다”며 “취약점 정보가 이미 유출된 만큼 업데이트를 마친 서버라도 이상 접속 기록이나 원격 조종 파일(webshell) 설치 여부 등 침해 흔적을 점검해 피해가 의심될 경우 즉시 KISA에 신고해야 한다”고 강조했다.</p> <p contents-hash="ccab7b4c5de5d827f96f34ad9cf7764ac41a5d91eec381fa684bb0442b50a533" dmcf-pid="4KeiFfhDyx" dmcf-ptype="general">호스팅 업체를 이용해 홈페이지를 운영하는 소상공인 등은 이용 중인 호스팅 업체에 보안 업데이트 적용 여부를 확인하면 된다. 인터넷에 ‘공격 시험 코드(PoC)’라며 유포되는 파일 중에는 악성 코드가 숨겨진 가짜가 많으므로 출처가 불분명한 코드는 내려받거나 실행하지 말아야 한다.</p> <p contents-hash="bf6b9433885ef475c17b7b1d6acac16f22e1e60a0334c1762b63950033fd8b08" dmcf-pid="89dn34lwSQ" dmcf-ptype="general">과기정통부는 “정보 보호 최고 책임자(CISO) 신고 기업 약 2만 8000개사, 주요 정보 통신 기반 시설, 정보 보호 관리 체계(ISMS) 인증 기업, 웹 호스팅사, 인터넷 데이터 센터(IDC), 사이버 위협 정보 공유(C-TAS) 회원사 등에 관련 내용을 긴급 전파했다”며 “국내외 보안 업계와 협력해 공격 동향을 지속 모니터링 중”이라고 말했다. 정부는 각 부처와 협력해 중소기업 대상 보안 점검 및 조치 요청도 논의할 계획이다.</p> <p contents-hash="45459168f5f073efb0716730c534e46434c4415a33370a3bef34fde119f7838f" dmcf-pid="6qxe59OcTP" dmcf-ptype="general">배 부총리는 “기업 관점에서는 기존의 수동 점검 후 수일 내 패치라는 통상적인 취약점 관리 주기(SLA)로는 공격을 방어할 수 없다”며 “인터넷 접점 자산에 대한 즉각적인 차단 및 웹 방화벽(WAF) 룰셋 선제 적용 같은 자동화된 대응 체계가 필수적”이라고 말했다.</p> <p contents-hash="55a08c7c25f1d0430b445f5ec8e61683271d9239006f2474319ef6257bcd35e1" dmcf-pid="PBMd12IkW6" dmcf-ptype="general">조윤진 기자 jo@sedaily.com</p> </section> </div> <p class="" data-translation="true">Copyright © 서울경제. 무단전재 및 재배포 금지.</p> 관련자료 이전 이진숙 놓고 또 충돌한 과방위…YTN·방송 공공성·플랫폼 도마(종합) [2026 국감] 10-22 다음 "술 좋아하는 남자는 좀"…여성 10명 중 7명 '질색' 10-22 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
