[이슈 포커스] 전 세계 웹사이트 노린 PHP 보안 위협 확산…국내 취약 자산 11만 건 추정

전 세계 웹사이트 운영에 널리 사용되는 프로그래밍 언어 PHP에서 심각한 보안 취약점이 발견되면서 국내외 보안당국과 기업들이 긴급 대응에 나섰다. 공격자가 별도의 인증 절차 없이 웹서버에서 악성 코드를 실행할 수 있는 결함으로, 보안 업데이트가 공개된 이후에도 해외에서 공격 시도가 잇따라 포착되고 있다.

국내에서는 취약한 PHP 버전을 사용하는 것으로 추정되는 인터넷 자산이 약 11만 건에 달하는 것으로 조사됐다. 정부는 민간 분야 사이버위기 경보를 ‘주의’ 단계로 상향했고, 주요 호스팅 기업과 금융권도 보안 패치 적용과 시스템 점검을 진행하고 있다.

이번에 공개된 취약점은 ‘PHP2Shell’로 불리는 CVE-2026-109618과 CVE-2026-109619다. 국제 취약점 평가 체계인 CVSS 4.0 기준 위험도는 9.2점으로, 최고 수준에 가까운 고위험 결함으로 분류된다.

PHP는 웹서버에서 프로그램을 실행해 이용자의 요청에 따라 웹페이지를 생성하는 오픈소스 프로그래밍 언어다. 기업 홈페이지와 온라인 쇼핑몰, 게시판, 공공기관 웹사이트 등 다양한 서비스에 활용되며, 세계적으로 널리 사용되는 콘텐츠 관리 시스템인 워드프레스의 기반 기술이기도 하다.

웹 기술 조사기관 W3Techs에 따르면 서버 측 프로그래밍 언어를 확인할 수 있는 웹사이트 가운데 약 76%가 PHP를 사용한다. 이처럼 활용 범위가 넓은 소프트웨어에서 취약점이 발견되면 특정 기업을 넘어 여러 산업과 국가의 웹서비스가 동시에 위험에 노출될 수 있다.

문제가 된 두 취약점은 PHP가 웹 요청을 처리하는 과정에서 발생하는 메모리 관리 오류와 관련돼 있다. CVE-2026-109618은 메모리 부족 상황에서 내부 요청 데이터가 불완전하게 초기화될 수 있는 결함이며, CVE-2026-109619는 이전 요청에서 사용한 내부 상태가 메모리 해제 이후에도 남아 후속 요청에 영향을 미칠 수 있는 문제다.

공격자가 이러한 결함을 악용하면 특정 조건에서 서버에 원격으로 코드를 실행할 가능성이 있다. 공격이 성공할 경우 웹사이트 변조와 악성 프로그램 설치, 내부 정보 탈취 등으로 이어질 수 있다. 다만 실제 악용 가능성과 피해 범위는 서버의 설정, 접근 권한, 운영 환경 등에 따라 달라진다.

PHP 개발진은 지난 21일 긴급 보안 업데이트를 배포했다. 취약점을 수정한 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12다. 보안 전문가들은 해당 버전으로 신속히 업데이트하고, 패치 이전에 비정상적인 접근이나 서버 명령 실행이 있었는지도 함께 확인할 것을 권고하고 있다.

해외에서는 이미 취약점을 악용하려는 움직임이 확인됐다. 보안 전문매체 더해커뉴스(The Hacker News)는 21일 클라우드플레어(Cloudflare)가 초기 공격 시도를 관측했다고 보도했다. 사이버 위협정보 기업 SOCRadar도 23일 공개한 분석에서 보안 패치가 배포되기 전인 17일부터 취약점 악용 시도가 시작된 정황을 확인했다고 밝혔다.

SOCRadar는 공격자가 운영하는 것으로 추정되는 외부 서버에서 관련 공격 도구도 발견했다고 설명했다. 취약점 정보와 공격 개념증명(PoC) 코드가 공개되면서 보안 업데이트가 늦어진 서버를 겨냥한 공격이 이어질 가능성이 제기되고 있다.

일부 해외 웹사이트와 기관은 침해 위험을 줄이기 위해 서비스를 예방적으로 중단한 것으로 전해졌다. 해킹 관련 정보를 공유하는 온라인 포럼들도 영향을 받았다. 국내 보안 전문매체 보안뉴스는 SOCRadar 분석을 인용해 브리치포럼(BreachForums)과 드레드(Dread) 등이 PHP 취약점에 따른 위험을 우려해 접속을 차단하거나 운영을 일시 중단했다고 보도했다.

다만 공격 시도가 포착됐다는 사실만으로 대규모 서버 침해가 발생했다고 판단할 수는 없다. 실제 공격 성공 여부와 피해 규모는 별도의 확인이 필요한 상황이다.

국내에서도 대응이 본격화됐다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 22일 PHP의 고위험 취약점 2건에 대한 보안 업데이트를 권고했다. 정부는 같은 날 정오를 기해 민간 분야 사이버위기 경보를 기존 ‘관심’에서 ‘주의’로 상향했다.

국내 보안업계가 파악한 취약 PHP 버전 사용 추정 인터넷 자산은 약 11만 건이다. 이는 외부에서 확인되는 서버와 인터넷 자산을 기준으로 추산한 수치로, 실제 해킹 피해 건수나 피해 기업 수를 뜻하지는 않는다.

더욱 우려되는 부분은 보안 패치 적용 속도다. 보안뉴스가 국내 보안 기업 에스케어와 함께 인터넷 자산 검색엔진 쇼단(Shodan)을 활용해 조사한 결과, 패치 공개 약 36시간이 지난 23일 오전 11시 기준 조사 대상 국내 서버 가운데 수정 버전이 확인된 비율은 약 3.8%에 그쳤다.

다만 외부에 노출된 버전 정보만으로 실제 보안 패치 적용 여부를 모두 판단할 수는 없다. 기존 버전에 보안 수정 사항만 별도로 반영하는 경우도 있기 때문이다. 그럼에도 오래된 소프트웨어를 사용하는 서버가 적지 않다는 점에서 신속한 점검이 필요하다는 지적이 나온다.

국내 주요 호스팅 기업인 카페24와 가비아 등도 관련 보안 패치를 적용하고 고객사 안내와 추가 점검을 진행하는 것으로 알려졌다. 금융권 역시 PHP를 사용하는 시스템을 대상으로 취약점 여부를 확인하고 보안 업데이트에 나서고 있다.

국내 기관을 겨냥한 공격 준비 정황도 제기됐다. 싱가포르 사이버보안 기업 사이퍼마(CYFIRMA)는 익명 통신망 I2P에서 한국어 사용자들이 PHP 취약점을 활용한 공격을 논의한 흔적을 발견했다고 밝혔다. 이들이 한국과 미국, 일본 등의 정부기관과 금융기관, 제조업 및 물류 분야를 공격 대상 후보로 거론했다는 설명이다.

일부 보도에서는 북한 연계 해킹조직 라자루스와의 관련 가능성도 언급됐다. 그러나 공개된 정보만으로 해당 인물들의 실제 소속이나 공격 배후를 확인하기는 어렵다. 논의된 공격 계획이 실제 침해로 이어졌는지, 국내 기관에 피해가 발생했는지도 확인되지 않았다.

이번 취약점이 발견된 과정에서 인공지능(AI)이 활용됐다는 점도 관심을 끈다. 국내외 보도에 따르면 보안 연구진은 AI 기반 코드 분석을 통해 PHP 내부에 오랫동안 존재했던 결함을 찾아내고 악용 가능성을 확인했다. 약 10년 전 작성된 코드에 남아 있던 문제를 새로운 분석 기술로 찾아냈다는 것이다.

AI가 소프트웨어의 보안 결함을 발견하는 데 기여할 수 있다는 점을 보여주는 동시에, 공격자 역시 AI를 이용해 취약점 분석과 공격 도구 개발 속도를 높일 수 있다는 우려도 나온다. 보안 기술이 발전하는 만큼 취약점 발견 이후 실제 공격까지 걸리는 시간이 짧아질 수 있다는 의미다.

이번 사태는 기업의 정보보호 관리 체계에도 중요한 과제를 던지고 있다.

웹사이트와 온라인 서비스는 고객정보를 보관하고 거래를 처리하는 핵심 인프라다. 보안 취약점이 실제 침해로 이어질 경우 개인정보 유출과 서비스 중단, 금전적 손실은 물론 고객 신뢰 하락과 협력업체의 업무 차질까지 발생할 수 있다.

특히 전문 보안 인력과 예산이 부족한 중소기업은 오래된 소프트웨어를 계속 사용하거나 보안 업데이트를 제때 적용하지 못할 가능성이 있다. 홈페이지 구축과 서버 관리를 외부 업체에 맡긴 경우에도 실제 보안 패치 책임이 누구에게 있는지 명확하지 않은 사례가 발생할 수 있다.

이 때문에 사이버 보안은 기술적 대응을 넘어 기업의 위험관리와 지배구조 차원에서 다뤄야 할 문제로 떠오르고 있다. 고객정보 보호와 안정적인 서비스 제공은 기업의 사회적 책임(S)에 해당하며, 보안 위험을 사전에 파악하고 대응 체계를 마련하는 일은 지배구조(G)와 밀접하게 연결된다.

기업은 우선 자사 웹사이트와 서버에서 사용 중인 PHP 버전을 확인하고 보안 업데이트 적용 여부를 점검해야 한다. 외부 유지보수 업체가 관리하는 시스템도 점검 대상에 포함해야 하며, 비정상적인 접근 기록과 서버 명령 실행 흔적 등을 확인해 패치 이전의 침해 가능성까지 살펴볼 필요가 있다.

업데이트가 어려운 시스템은 외부 노출을 최소화하고 접근 통제와 모니터링을 강화하는 등 추가적인 보호 조치가 요구된다.

전 세계적으로 사용되는 소프트웨어에서 발견된 취약점 하나가 각국 정부의 보안 경보 상향과 기업들의 긴급 대응으로 이어졌다. 소프트웨어와 온라인 서비스의 연결성이 높아질수록 하나의 보안 결함이 여러 산업으로 확산할 수 있다는 사실이 다시 확인된 셈이다.

이번 PHP 보안 사태는 보안 패치를 얼마나 빠르게 적용하느냐뿐 아니라, 기업이 평소 자사의 디지털 자산을 얼마나 정확하게 파악하고 관리하고 있는지를 묻고 있다. 사이버 보안이 기업의 신뢰와 경영 안정성을 좌우하는 중요한 요소로 자리 잡으면서, 정보보호에 대한 경영진의 책임과 상시적인 관리 체계의 중요성도 더욱 커지고 있다.