전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어 PHP에서 로그인 없이 서버에 명령을 실행할 수 있는 취약점 2건이 발견됐다. PHP는 게시판 글쓰기와 결제 요청처럼 이용자가 웹사이트에서 보낸 정보를 서버가 처리하는 데 쓰인다. 홈페이지를 안전하게 제작했더라도 PHP 자체가 취약하면 공격 대상이 될 수 있어, 정부와 기업은 웹사이트를 점검하고 보안 업데이트를 적용하는 긴급 대응에 들어갔다. 유럽에서는 정부 기관과 기업이 사이트를 일시 폐쇄했고, 한국 정부는 민간 분야 사이버위기 경보를 ‘주의’로 높였다. 취약점 발견 과정에는 인공지능(AI)이 활용됐으며, 패치 공개 전후의 정보 유출과 조기 배포 문제도 제기됐다.
웹사이트 기반 언어 PHP, 서버 요청 처리 과정에서 취약점
PHP는 서버에서 실행돼 웹사이트 이용자의 요청을 처리하는 프로그래밍 언어다. 이용자가 게시판에 글을 올리거나 쇼핑몰에서 결제 버튼을 누르면 PHP 프로그램이 요청을 받아 데이터베이스와 정보를 주고받고, 그 결과를 화면에 표시한다. 1990년대 초 개인 홈페이지 제작 도구로 출발한 PHP는 워드프레스·드루팔·줌라·마젠토 등 콘텐츠관리시스템과 전자상거래 플랫폼에 쓰이고 있다. 웹 기술 분석업체 W3Techs 집계로는 사용 언어를 식별할 수 있는 웹사이트의 약 75%가 PHP를 사용한다. 전체 웹사이트의 약 43%에서 쓰이는 워드프레스도 PHP 기반이다.
이번에 확인된 취약점은 ‘PHP2셸’로 불리는 2건으로, 식별번호는 CVE-2026-109618과 CVE-2026-109619다. 두 결함 모두 인증받지 않은 외부 공격자가 원격으로 코드를 실행할 수 있게 한다. 첫 번째 취약점은 메모리 부족으로 PHP 실행이 중단되는 과정에서 불완전한 요청 데이터가 정상 정보처럼 처리되는 문제다. 두 번째는 메모리에서 해제된 내부 요청 정보가 다음 요청에서 다시 사용되면서 생긴다. 국제 보안취약점 평가기준 CVSS 4.0에서 위험도는 10점 만점에 9.2점으로 평가됐다. 특히 아파치 웹서버에 PHP를 직접 연결하는 ‘mod_php’ 방식에서는 인증이 없는 요청 한 번으로 웹 애플리케이션이 실행되기 전에 악성 코드가 작동하는 상황이 시연됐다.
취약점이 악용되면 공격자는 서버에 원격 조종을 위한 웹셸을 심거나 고객 정보를 빼낼 수 있다. 홈페이지를 변조하거나 서비스를 마비시키는 피해도 가능하다. 과학기술정보통신부는 이번 결함이 개별 홈페이지 프로그램이 아니라 PHP 자체에 있어, 홈페이지를 안전하게 만들었더라도 영향을 받을 수 있다고 설명했다. 국내에서는 관공서와 학교 홈페이지, 지역 언론사 사이트, 소상공인 쇼핑몰과 동호회 게시판 등에서 PHP가 쓰인다. 보안업계는 오래된 PHP 5·7 버전에 머물러 있는 사이트가 적지 않다며 사용 여부와 버전을 확인해야 한다고 밝혔다.
| 항목 | 수치 |
|---|---|
| 언어를 식별할 수 있는 웹사이트의 PHP 사용 비율 | 75% |
| 전체 웹사이트의 워드프레스 이용 비율 | 43% |
| 취약 PHP 버전을 쓰는 것으로 추정된 국내 서버 | 112,183대 |
AI가 찾아낸 10년 이상 된 결함…패치 공개 전 정보 유출
취약점 발견에는 AI를 이용한 코드 탐색이 활용됐다. 보안기업 위즈와 캘리프에 따르면 구글의 제미나이 4 아르곤, 오픈AI의 GPT-5.6 솔, 자율형 AI 보안 도구 위즈 아틀라스 등이 심층 코드 분석에 쓰였다. 캘리프는 지난 8월 GPT-5.6 솔을 활용해 첫 번째 취약점을 발견한 뒤 PHP 개발진에 신고했다. 위즈는 결함이 10년 넘게 PHP 코드에 있었으며, 연결 구조가 복잡해 사람이 수작업으로 찾아 악용하기 어려웠다고 설명했다. 한편 AI로 취약점을 찾을 수 있는 만큼 공격자가 이를 활용할 가능성도 제기됐다. 실제 공격에 쓰이는 도구 가운데 AI로 작성된 프로그램도 포함된 것으로 파악됐다.
PHP 개발진은 보안 패치를 당초 22일 공개할 계획이었지만, 20일 온라인 게시판에 관련 정보가 유출되면서 일정을 하루 앞당겼다. 패치는 21일(현지시각) 배포됐다. 패치 배포업체 체인가드는 공식 배포 시점보다 6시간 이상 먼저 패치가 적용된 이미지를 공개했고, PHP 재단은 체인가드가 일방적으로 공개 유예 약속을 깼다며 비판했다. 취약점 정보를 일정 기간 비공개로 유지하는 것은 개발진이 수정본을 준비하고 관련 기관과 기업이 대응할 시간을 확보하기 위한 절차다. 패치가 먼저 공개되면 공격자가 수정 전후 코드를 비교해 취약점의 위치와 작동 방식을 파악할 수 있다.
공식 공개 전 공격 징후도 보고됐다. 아마존의 CJ 모세스 최고정보보안책임자는 공식 발표 나흘 전인 10월 17일 자사 허니팟에서 해당 취약점을 노린 정교한 악용 시도가 감지됐다고 밝혔다. 취약점 공개 뒤에는 개념증명 도구가 실제 공격에 쓰인다는 보고가 나왔다. 와치타워 위협 인텔리전스 책임자는 당시 성공 사례를 확인하지 못했다고 밝혔지만, 아마존은 금수 조치 해제 직후 침투 시도가 급증했고 실제 환경에서 광범위한 악용이 벌어지고 있다고 경고했다. 두 기관의 평가는 확인된 피해 상황에서 차이를 보였다.
유럽 정부 사이트 폐쇄…미국 기관도 업데이트 권고
미국 국가안보국(NSA)은 PHP를 사용하는 기관과 기업에 업데이트 준비를 권고했다. 연방수사국(FBI)은 즉시 업데이트할 수 없다면 웹사이트를 오프라인으로 전환하라고 요청했다. 백악관은 연방기관 및 주요 인공지능 연구소와 상황을 추적하고 조율하고 있다고 밝혔다. 독일과 프랑스 등 일부 유럽연합 국가에서도 보안 패치 전까지 행정기관 사이트를 일시 폐쇄했다.
네덜란드에서는 국가사이버보안센터가 자체 사이트를 차단했고, 정부 공식 포털과 로테르담 항만청, 주요 정당, 대형 병원 사이트도 접속을 중단했다. 프랑스는 내무부 관할 대민 행정 사이트를 전면 차단했다. 위키피디아와 인터넷 아카이브는 일부 서버를 일시 중단했고, 닌텐도를 비롯한 기업과 단체도 일부 서비스를 폐쇄했다.
취약 서버의 분포도 우려 사항으로 제시됐다. 사이버 위협 인텔리전스 플랫폼 안랩 TIP는 해킹 공격에 취약한 PHP 버전을 사용하는 것으로 추정되는 국내 서버를 11만2183개로 집계했다. 국가별로는 미국 약 55만 개, 중국 약 24만 개, 독일 약 19만 개, 일본 약 15만 개, 프랑스 약 12만 개에 이어 한국이 세계 6위 수준이었다. 별도로 인터넷 자산 분석기관 센시스는 분석한 웹서버 260만 대 가운데 약 150만 대가 패치를 적용하지 못한 상태라고 집계했다. 보안업체 디텍티파이 연구원은 PHP 기반 웹사이트의 절반가량이 구형 버전을 쓰고 있을 것으로 추정했다.
국내 경보 ‘주의’ 상향…패치와 점검 대상 확대
과학기술정보통신부와 한국인터넷진흥원(KISA)은 22일 낮 12시부터 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 높였다. 정부는 최고정보보호책임자(CISO) 신고 기업 약 2만8000곳, 주요정보통신기반시설 111곳, 정보보호관리체계(ISMS) 인증기업 1068곳, 웹호스팅사와 데이터센터 등 688곳, 위협정보 공유 회원사 5900곳에 관련 내용을 전파했다. 정부는 전날 밤에도 사이버 위협정보 분석·공유 시스템 회원사와 CISO 신고 의무 기업에 신속한 보안 업데이트를 권고했다. 24시간 비상출동조 대기 체제도 가동했다. 청와대 국가안보실은 송기호 3차장 주재로 민·관·군 사이버안보 긴급대책 회의를 열어 부문별 대응 상황을 점검했다.
정부는 각 기관과 기업이 운영하는 모든 홈페이지와 시스템에서 PHP 사용 여부와 버전을 확인하고 최신 보안 업데이트를 적용하라고 안내했다. KISA가 안내한 업데이트 대상은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상이다. 업데이트한 뒤에는 웹 서비스를 재시작해야 한다. 재시작하지 않으면 메모리에 이전 버전이 남아 계속 실행될 수 있기 때문이다. 공식 업데이트가 제공되지 않는 PHP 8.1 이하 버전은 지원되는 상위 버전으로 옮겨야 한다. PHP 보안팀이 7.4·8.0·8.1용 최소 수정 코드를 내놓았지만, 이는 직접 빌드하는 이용자를 위한 것이어서 정부는 상위 버전 전환을 당부했다.
KISA는 자산 목록에만 의존하지 말고 실제 동작 중인 서버를 기준으로 점검하도록 했다. 외주 제작 사이트와 방치된 웹사이트, 이벤트·테스트 서버, 관리자 페이지는 물론 PHP가 내장된 장비와 솔루션, 외부에서 받아 사용하는 컨테이너 이미지도 확인 대상이다. 즉시 업데이트하기 어려운 경우에는 메모리 제한과 업로드 진행률 기능 설정을 변경하고 작업 프로세스를 재시작하는 임시 조치가 제시됐다. 웹방화벽이나 프록시에서 요청 크기를 제한하고, 파일 업로드가 필요 없는 서비스는 관련 요청을 차단하는 방법도 안내됐다. 임시 설정만으로 전체 안전을 보장할 수 없으며, 조치가 불가능하면 외부 접속을 차단하는 방안이 제시됐다.
패치 뒤에는 침입 흔적도 확인해야 한다. KISA는 업데이트 후 로그 전체를 점검하고 가능하면 이전 기록까지 살피라고 권고했다. 패치는 이후 공격을 막는 조치일 뿐 이미 심어진 웹셸을 제거하지는 않는다. 침해가 의심될 때는 서버를 끄거나 재시작하지 말고 외부 접속을 먼저 차단한 뒤 KISA 보호나라에 신고하고, 로그와 실행 프로그램 목록, 네트워크 연결 정보를 확보해야 한다. 호스팅 서비스를 쓰는 소상공인에게는 이용 중인 업체에 업데이트 여부를 확인하도록 안내했다. 카페24는 PHP 5.4 이상 서비스에 업로드 진행률 기능을 끄는 완화 조치를 적용했지만 최신 버전으로 이동할 것을 권고했다.
정부는 중소기업의 긴급 패치 지원을 검토하고 있다. 과기정통부는 수동 점검 뒤 수일 내 패치하는 기존 관리 주기로는 공격을 막기 어렵다며 인터넷 접점 자산의 즉각 차단과 웹방화벽 규칙의 선제 적용 등 자동화 대응을 강조했다. 국내 정부·지방정부 정보시스템은 대다수가 자바 기반 전자정부 표준프레임워크를 사용해 영향이 상대적으로 크지 않다는 행정안전부 설명도 나왔다.
· · · · · · · · · ·
관련기사
▶ 김정은 사망설 확산 속 북한 웹사이트 이틀째 접속 장애
▶ 아시아태평양경제협력체(APEC) 학교 경영자, 함께 모여 인공지능 기반 교육 혁신의 길을 찾다
· · · · · · · · · ·
한국사회복지저널은 AI 기술의 도움을 받아 보도자료와 복지 정보를 보다 쉽고 정확하게 전달하기 위해 노력하고 있습니다.
