방치한 홈페이지가 해킹 통로 될라…PHP 취약점에 보안업계 긴급 경고

PHP 취약점 2건 심각도 9.2점…오늘 밤 11시 보안 업데이트 예고

EU 사이버보안 대응조직 "즉시 조치 어렵다면 외부 접속 차단 검토"

국내 보안업계도 방치된 홈페이지·구형 버전 점검 당부

[서울=뉴시스] 인터넷 보안 시스템. 기사의 이해를 돕기 위한 이미지. (사진=유토이미지) 2026.08.07. [email protected] *재판매 및 DB 금지

[서울=뉴시스]윤정민 기자 = 웹사이트 개발·운영에 널리 쓰이는 프로그래밍 언어 'PHP'에서 심각한 보안 취약점 두 건이 확인돼 국내외 보안업계가 긴급 대응을 주문했다. 공격자가 웹사이트 서버에 침입해 원하는 명령을 실행할 가능성이 제기된 가운데 국내 보안업계에서는 오래된 쇼핑몰과 관리가 소홀한 홈페이지까지 점검해야 한다는 경고가 나왔다.

21일 PHP 보안팀에 따르면 이날 오후 11시(한국 시간 기준) PHP 취약점 두 건을 수정하는 보안 업데이트가 공개될 예정이다.

두 취약점은 국제 보안 취약점 평가체계(CVSS) 4.0 기준 각각 10점 만점에 9.2점으로 가장 높은 단계인 '치명적(Critical)' 등급에 해당한다.

보안팀은 업데이트가 공개되는 즉시 적용할 수 있도록 미리 준비해 달라고 당부했다. 구체적인 취약점 내용과 영향을 받는 버전, 수정 버전은 업데이트 공개 때 함께 발표할 계획이다.

서버서 명령 실행 가능성…EU "조치 어렵다면 외부 접속 차단 검토"

PHP는 서버에서 실행되는 웹 개발용 프로그래밍 언어이자 이를 실행하는 소프트웨어다. 로그인 정보를 확인하거나 저장된 게시글을 불러오는 등 웹사이트 기능을 처리하는 데 쓰인다.

이번에 문제가 제기된 취약점은 'CVE-2026-109618'과 'CVE-2026-109619'다. 보안업계에서는 'PHP2Shell'로도 불린다. 외부 공격자가 서버에서 임의의 코드를 실행할 수 있는 '원격 코드 실행(RCE)' 취약점으로 알려졌다. 공격에 성공하면 정보를 빼내거나 웹사이트 내용을 바꾸는 등의 피해로 이어질 수 있다.

유럽연합(EU) 기관·기구 사이버보안 대응조직인 'CERT-EU'는 PHP로 운영되는 웹사이트와 서비스를 파악하고 보안 업데이트를 준비하라고 권고했다. 즉각적인 조치가 어려운 경우에는 업데이트를 적용할 때까지 해당 서비스의 외부 접속을 차단하는 방안도 검토하라고 밝혔다.

워드프레스 보안업체 워드펜스는 웹사이트 제작·관리 도구인 워드프레스 자체 업데이트와 PHP 보안 업데이트는 별개라고 강조했다. 운영자는 사용 중인 PHP 버전과 호스팅 업체의 업데이트 적용 계획을 확인해야 한다고 당부했다.

국내에서는 안랩이 긴급 공지를 통해 원격 코드 실행 위험을 경고했다. 다만 공식적인 영향 범위는 아직 제공되지 않았다고 설명했다.

"잊고 있던 홈페이지도 점검"…패치와 함께 침입 흔적 확인해야

박세준 티오리 대표는 페이스북을 통해 국내에는 게시판 제작 도구인 '그누보드'를 쓰는 사이트나 오래된 쇼핑몰처럼 PHP 5·7 등 구형 버전을 사용하는 곳이 많다며 각별한 주의가 필요하다고 지적했다.

박 대표는 "예전에 만들어 두고 잊은 사이트, 외주로 만든 쇼핑몰, 장비 관리 페이지에도 PHP가 숨어 있을 수 있다"며 사용 현황을 확인하라고 권고했다. 이어 패치가 공개되면 바로 적용하고, 곧바로 조치하기 어렵다면 외부 접속을 임시 차단하는 방안도 고려해야 한다고 밝혔다.

로그프레소는 패치 전까지 파일 업로드 진행 상황을 확인하는 기능을 꺼 일부 위험을 줄이고, 패치가 공개되면 공식 수정 버전이나 운영체제 배포업체가 제공하는 보안 업데이트를 적용해야 한다고 설명했다.

또 패치 적용과 함께 서버 작동 기록과 이상 징후도 점검하라고 당부했다. 주요 점검 항목으로는 PHP 프로그램의 비정상 종료, 서버를 원격 조종하는 악성 파일인 '웹셸', 의심스러운 외부 통신 등을 제시했다.

구형 버전 사용자는 보안 업데이트 지원 여부도 확인해야 한다. PHP 공식 정책상 지원 기간이 끝난 버전에는 공식 보안 지원이 제공되지 않는다. 해당 버전이 이번 취약점의 영향을 받는다면 보안 업데이트를 받을 수 있는 버전으로 전환해야 한다.


◎공감언론 뉴시스 [email protected]