과기정통부, PHP 치명적 취약점에 긴급 패치 당부…사이버 위기경보 '주의' 상향

정부가 전 세계 웹사이트 제작에 널리 쓰이는 프로그래밍 언어 'PHP'에서 심각한 보안 취약점 2건이 공개되자 긴급 보안 업데이트와 기술적 조치를 당부하고 나섰다. 과학기술정보통신부와 한국인터넷진흥원은 22일 PHP를 이용해 홈페이지를 운영하는 국내 기업·기관에 최신 버전으로 즉시 업데이트할 것을 요청했다.

이번 취약점은 공격자가 아이디와 비밀번호 없이 특수하게 조작된 요청을 보내 서버에 원하는 명령을 실행할 수 있는 것이 특징이다. 공격에 성공하면 해커가 원격조종 파일(웹셸)을 몰래 설치하거나 고객 정보를 빼내고, 홈페이지를 변조·마비시키는 등 중대한 피해로 이어질 수 있다. 취약점 등급은 CVSS 9.2로, 국제 식별번호 CVE-2026-109618과 CVE-2026-109619가 각각 부여됐다.

특히 이번 결함은 개별 홈페이지 프로그램이 아닌 PHP 자체에서 발생한 것이어서, 프로그램을 안전하게 만들어도 영향을 받을 수 있다. 유럽연합 사이버보안기관(CERT-EU)과 영국·네덜란드·독일 등 주요국 보안기관들도 이 취약점을 '치명적' 등급으로 평가하고 즉시 업데이트하되, 여의치 않은 시스템은 인터넷에서 분리하거나 일시 중단할 것을 권고했다.

PHP 개발팀은 10월 21일(현지 시각) 취약점을 해결한 업데이트를 배포했고, 한국인터넷진흥원도 같은 날 보호나라 홈페이지에 권고문을 올렸다. 이용 기업·기관은 운영 중인 모든 홈페이지와 시스템의 PHP 버전을 확인한 뒤 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상으로 올려야 한다. 업데이트 후에는 반드시 웹 서비스를 재시작해야 보안 조치가 적용된다.

PHP 8.1 이하 구버전은 공식 업데이트가 제공되지 않아 지원되는 상위 버전으로 전환해야 한다. PHP 8.2 역시 2026년 12월 31일 보안 지원이 종료될 예정이어서 8.3 이상으로 옮기는 것이 권장된다. 오래전에 만들어 방치한 홈페이지나 외주로 제작한 쇼핑몰, 장비 관리 화면에도 PHP가 쓰였을 수 있어 꼼꼼한 확인이 필요하다.

정부는 취약점 정보가 업데이트 배포 전 이미 유출돼 해외 보안업체를 중심으로 공격 시도가 보고됐다며, 로그는 최소 10월 20일 이후 전체를 점검하라고 당부했다. 업데이트를 마친 서버라도 이상 접속 기록이나 웹셸 설치 여부 등 침해 흔적을 살펴야 하고, 피해가 의심되면 즉시 한국인터넷진흥원에 신고해야 한다.

호스팅 업체를 통해 홈페이지를 운영하는 소상공인은 이용 중인 업체에 업데이트 적용 여부를 확인하면 된다. 일반 국민은 직접 조치할 사항은 없지만 백신 설치와 최신 보안 업데이트 등 기본 수칙을 지키는 것이 좋다. 인터넷에 '공격 시험 코드(PoC)'라며 유포되는 파일 가운데는 악성코드가 숨은 가짜가 많아 출처가 불분명한 코드는 내려받거나 실행하지 말아야 한다.

정부는 이날 낮 12시를 기해 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 상향 조정했다. 정보보호 최고 책임자(CISO) 신고기업 약 2만8000개와 주요정보통신기반시설 111개, 정보보호 관리체계(ISMS) 인증기업 1068개, 사이버 위협 정보 공유(C-TAS) 회원사 5900개, 웹호스팅사·인터넷데이터센터(IDC) 등 주요기업 688개에 관련 내용을 긴급 전파했다.

배경훈 과학기술정보통신부 부총리는 "이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고, 공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다"며 "인터넷 접점 자산에 대한 즉각적인 차단 및 웹방화벽(WAF) 룰셋 선제 적용 같은 자동화된 대응 체계가 필수적"이라고 밝혔다. 그러면서 "전 부처가 원팀으로 대응해야 할 엄중한 상황"이라며 각 부처와 협력해 중소기업 대상 보안점검 및 조치 요청을 논의할 예정이라고 덧붙였다.