PHP 해킹우려에 중소기업 '사각지대' 우려…"현장 기술지원 시급"
기업 영향 여부 파악·보안 업데이트 시급
전문가 "중소기업·학교 현장 지원 우선"
[파이낸셜뉴스] 전 세계 웹사이트에서 광범위하게 사용되는 프로그래밍 언어 'PHP'에서 치명적인 보안 취약점이 발견됐지만, 기업들이 자사 시스템의 영향 여부를 파악하는 것부터 쉽지 않다는 우려가 나온다. PHP가 웹사이트 곳곳에 활용되는 데다 자체 보안 역량이 부족한 중소기업과 학교는 취약점 점검에도 어려움을 겪을 수 있어서다.
전문가들은 보안 조치 현황을 파악하기 앞서 취약점 확인과 업데이트를 위한 현장 지원이 시급하다고 강조한다.
22일 보안업계에 따르면 PHP는 웹사이트의 로그인과 게시판, 주문 처리 등 다양한 기능을 구현하는 서버 측 프로그래밍 언어다.
이용자가 웹사이트에서 작업을 요청하면 서버에서 해당 프로그램을 실행해 결과를 제공하는 역할을 한다. 온라인 쇼핑몰의 주문 내역 조회나 게시판 글 작성, 데이터베이스 연동 등에 활용된다.
PHP는 특정 서비스에 국한되지 않고 웹사이트 전반에 폭넓게 적용돼 있다. 웹 기술 분석업체 W3Techs에 따르면 서버 측 프로그래밍 언어를 식별할 수 있는 전 세계 웹사이트 중 약 75%가 PHP를 사용한다. 전체 웹사이트의 약 43%에서 사용되는 콘텐츠관리시스템(CMS) '워드프레스'도 PHP를 기반으로 작동한다. 개인 블로그부터 기업 홈페이지, 온라인 쇼핑몰까지 활용 범위가 넓다.
앞서 한국인터넷진흥원(KISA)은 지난 21일 PHP에서 '부적절한 예외 상황 처리'(CVE-2026-109618)와 '해제 후 사용'(CVE-2026-109619) 등 취약점 2건이 확인됐다며 보안 업데이트를 권고했다. 영향을 받는 버전은 PHP 8.2.35 미만, 8.3.36 미만, 8.4.27 미만, 8.5.12 미만이다. 해당 버전은 보안 패치가 적용된 버전으로 업데이트해야 하며, 공식 보안 지원이 종료된 PHP 8.1 이하 버전은 지원 중인 버전으로 전환해야 한다.
하지만 기업별로 PHP가 어느 시스템에 사용되고 있는지, 해당 시스템이 취약한 버전으로 운영되고 있는지 파악하는 데 적지 않은 시간이 소요될 수 있다는 지적이 나온다. 특히 웹사이트 개발과 운영을 외부 업체에 맡기거나 자체 보안 인력이 부족한 중소기업과 학교는 취약점의 기술적 내용을 이해하고 대응하는 데 한계가 있을 수 있어서다. 단순히 보안 업데이트를 권고하는 데 그치지 않고 실제 적용 여부를 확인할 수 있도록 지원해야 한다는 목소리가 나오는 이유다.
이에 전문가들은 당장 기업별 점검 실적을 취합하기보다 대응 역량이 부족한 현장에 대한 기술 지원을 우선해야 한다고 제언한다.
김승주 고려대 정보보호대학원 교수는 자신의 사회관계망서비스(SNS)를 통해 "PHP 취약점 사태와 관련해 몇 대를 점검하고 조치했는지에 대한 통계보고서는 조금 나중에 회사들에게 요청했으면 한다"고 말했다.
이어 "지금은 취약점 보고서가 무엇을 의미하는지, 자신들도 영향을 받는지조차 파악하지 못하고 있을 중소기업과 학교를 집중적으로 도와주시면 감사할 것 같다"며 "이들에 대해 취약점 해당 여부를 확인하고 필요한 조치를 취할 수 있도록 현장을 지원하는 일이 우선이 아닐까 싶다"고 덧붙였다.
[email protected] 최혜림 기자
