전 세계 웹사이트 4곳 중 3곳꼴로 쓰이는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 드러나면서 정부와 관련 업계가 분주해졌다. 국내에서 취약한 버전의 PHP가 설치된 것으로 추정되는 인터넷 자산은 약 11만건으로 파악된다.
22일 보안업계에 따르면 PHP 개발진은 지난 21일(현지시간) 외부 공격자가 별도의 인증 절차 없이 서버에서 명령을 실행할 수 있는 보안 취약점 ‘PHP2Shell’ 2건(CVE-2026-109618·CVE-2026-109619)을 확인하고 수정 업데이트 버전을 긴급 배포했다.
이번 취약점은 공격자가 웹사이트 로그인 등 별도의 인증 절차를 거치지 않고도 인터넷을 통해 서버에서 명령을 실행할 수 있다는 점에서 위험성이 큰 것으로 분석된다. 공격자가 서버 명령 실행 권한을 악용하면 웹사이트에 저장된 정보가 유출되거나 서버 자체가 장악될 수 있기 때문이다.
PHP는 웹사이트에서 이용자의 로그인이나 게시글 작성, 상품 결제 등의 요청을 서버가 처리하도록 하는 프로그램을 만드는 데 쓰이는 프로그래밍 언어다. 국내에서도 PHP는 웹사이트 구축에 폭넓게 활용된다.
PHP 기반 웹사이트는 서버 공간을 빌려주는 호스팅 업체나 클라우드 사업자가 운영하는 서버에서 구동되는 경우가 많다. PHP 보안팀이 긴급 보안 업데이트를 배포했지만 실제 서비스에 반영하기까지는 시간이 걸리는 만큼, 운영 기업들의 신속한 영향 점검과 대응이 요구되고 있다.
기업들은 긴급 대응책 마련에 분주한 모습이다. 온라인 쇼핑몰 구축 서비스와 웹호스팅을 제공하는 카페24는 이번 취약점에 대응하기 위한 PHP 보안 패치를 적용하고 고객에게 관련 조치 사항을 공지했다고 밝혔다. 가비아도 이날 새벽 패치 작업에 착수해 웹호스팅 서비스에서 제공하는 PHP 버전 가운데 취약점의 영향을 받는 버전 전반에 대한 보안 조치를 완료했다. 국내 보안 업체 에버스핀은 자사 솔루션 ‘에버세이프 포 웹’ 고객 서비스에 ‘취약점 공격 대응’ 기능으로 해당 공격을 막는 차단 규칙을 적용했다.
현재까지 이번 취약점과 관련해 접수된 침해 사고나 피해 의심 사례는 확인되지 않았다. 그렇다 하더라도 취약한 서버를 찾아 보안 조치를 서두르고 침해 여부를 점검해야 한다는 지적이 나온다.
정부도 긴급 대응에 돌입했다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 전날 밤 사이버 위협정보 분석·공유 시스템(C-TAS) 회원사와 정보보호 최고책임자(CISO) 신고 의무 기업을 대상으로 PHP 취약점에 대한 보안 조치를 취할 것을 요청한 것으로 알려졌다.
오현승 기자 hsoh@segye.com
