[단독]국내 웹사이트, PHP 사용률 83%…치명적 취약점 대응 시급 작성일 10-22 36 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">정부, 민간 분야 사이버위기 경보 ‘주의’로 상향</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="xGGldwb0hc"> <figure class="figure_frm origin_fig" contents-hash="1d4174ea666c45ee6431c8e0027c05ac52be45039f9ff678f2065b46656f1417" dmcf-pid="y227I1oMhA" dmcf-ptype="figure"> <p class="link_figure"><img alt="챗GPT로 그린 일러스트." class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/22/dt/20261022145957736vqye.png" data-org-width="500" dmcf-mid="QLcL7xWIlk" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/22/dt/20261022145957736vqye.png" width="658"></p> <figcaption class="txt_caption default_figure"> 챗GPT로 그린 일러스트. </figcaption> </figure> <p contents-hash="c0cc1d5a776e243ff51163b8b9aeae977551b903815d87a99716112448308243" dmcf-pid="WVVzCtgRlj" dmcf-ptype="general"><br> 국내 서버에서 운영되는 웹사이트 가운데 서버 측 프로그래밍 언어가 확인된 곳의 약 83%가 PHP를 사용하는 것으로 나타났다. PHP에서 로그인 없이 서버에 악성 명령을 실행할 수 있는 치명적 보안 결함이 공개되면서 국내 기업·기관의 긴급 점검과 보안 업데이트가 시급해졌다.</p> <p contents-hash="a8f9e8220c703135ad3d50153f323dd32f729caf1b2b465239b15539c8a82e28" dmcf-pid="YffqhFaeyN" dmcf-ptype="general">웹 기술 조사업체 W3테크스의 22일 통계에 따르면 서버 소재지가 한국으로 분류되고 서버 측 언어가 식별된 웹사이트의 PHP 사용률은 82.7%다. 전 세계(69.3%)보다도 훨씬 높으며, ‘.kr’ 도메인만 따져도 75.1%에 달한다. 다만, 사용 언어가 확인되는 곳들만 해당하며 국내 전체 웹사이트를 전수조사한 결과는 아니다.</p> <p contents-hash="aa4991058356c5a9a6a63a72a6d5b6de74f1a9e77d73ed48fb73cdd724b46c1d" dmcf-pid="G44Bl3Ndva" dmcf-ptype="general">PHP는 홈페이지와 쇼핑몰, 게시판 등을 만드는 데 쓰이는 언어다. 이번 결함은 개별 사이트의 프로그램이 아닌 PHP 자체에 있어 홈페이지를 안전하게 개발했더라도 영향을 받을 수 있다. 공격에 성공하면 정보 탈취와 데이터 변조 등으로 이어질 수 있다. 보안업체 위즈는 워드프레스·드루팔·줌라 환경에서 인증 없이 코드를 실행하고, 별도로 서버 메모리의 비밀번호·인증 토큰·API 키를 읽어내는 공격을 시연했다.</p> <p contents-hash="276a8dc9335235df924e90a5a01e27809c1b0ec8191f199c744263b535e1d6b3" dmcf-pid="H88bS0jJCg" dmcf-ptype="general">‘PHP투셸’(PHP2Shell)로 불리는 이 취약점 2건은 인공지능(AI)을 활용한 보안 연구진이 발견했다. 10년 넘게 존재한 결함의 악용 가능성을 AI가 드러낸 것이다. 이에 PHP 개발진은 21일(현지시간) 수정 버전인 8.5.12·8.4.27·8.3.36·8.2.35를 배포했다. 아파치 웹서버의 ‘mod_php’ 환경에서는 사이트 프로그램이 실행되기도 전에 공격이 가능해 위험이 가장 큰 것으로 우려된다.</p> <p contents-hash="012b9eed1a15e00ba6d57017876a7d14aa242eb56d37c02c397d2700d364c42a" dmcf-pid="X66KvpAiyo" dmcf-ptype="general">정부도 대응 수위를 높였다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 22일 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 상향하고 PHP를 사용하는 기업·기관에 긴급 보안 업데이트와 침해 여부 점검을 당부했다. KISA는 앞서 21일 보안 공지를 통해 지원이 종료된 PHP 8.1 이하 버전도 지원 중인 상위 버전으로 전환하라고 권고했다.</p> <p contents-hash="8bb993caf0fb85f4d0ade2da63d47a0ffd4bf3ae5cf8352d2115690f0d167d69" dmcf-pid="ZPP9TUcnlL" dmcf-ptype="general">운영자는 홈페이지 제작 도구나 플러그인뿐 아니라 서버에 설치된 PHP 자체가 수정됐는지 확인해야 한다. 호스팅 서비스를 이용한다면 공급업체에 패치 적용 여부를 문의해야 한다. 구버전은 공급업체가 별도로 제공하는 수정본이 있는지도 확인할 필요가 있다. PHP 개발진은 일부 설정 변경이 공격 경로를 줄일 수는 있어도 보안 업데이트를 완전히 대신하지는 못한다고 강조했다.</p> <p contents-hash="fbeb39c72d49a05c68d80420fb47fa604326d3eb0c160c7d2234d9fd392bb7d7" dmcf-pid="5QQ2yukLCn" dmcf-ptype="general">팽동현 기자 dhp@dt.co.kr</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털타임스. 무단전재 및 재배포 금지.</p> 관련자료 이전 5G·AI로 이동형 병원 구현한다 10-22 다음 육아휴직 후 퇴사하는 여성 30%… 남성보다 7%p 높아 10-22 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
