국내 서버 11만개 덮친 'PHP 결함'… 中企는 무방비 노출[전세계 웹사이트 해킹 비상]

주문내역 조회 등 처리하는 언어
"보안 패치 나오기 전 공격 정황"
사이버위기 경보 '주의'로 상향
보안 인력 없는 중소기업·학교
PHP 사용 여부 파악부터 '난항'
전문가들 "현장 기술지원 시급"

전 세계 웹사이트에서 광범위하게 사용되는 프로그래밍 언어 'PHP'에서 심각한 보안취약점이 발견됐다. 공격자가 별도 인증 없이 원격에서 악성코드를 실행할 수 있는 위험이 제기되면서 국내외 보안당국이 긴급 업데이트를 권고하고 나섰다.

그러나 정작 자사 시스템의 영향 여부를 파악하는 것부터 쉽지 않다는 우려가 나온다. PHP가 웹사이트 곳곳에 활용되는 데다 자체 보안 역량이 부족한 중소기업과 학교는 취약점 점검에도 어려움을 겪을 수 있어 정부가 보안권고에 그치지 말고 현장 기술지원에 시급히 나서야 한다는 조언이 잇따르고 있다.

22일 과학기술정보통신부와 한국인터넷진흥원(KISA)은 최근 PHP에서 '부적절한 예외 상황 처리'(CVE-2026-109618)와 '해제 후 사용'(CVE-2026-109619) 취약점 등 2건이 확인됐다고 밝혔다. 이에 PHP 개발팀이 취약점을 해결해 배포한 보안 업데이트를 보호나라 사이트를 통해 긴급 업데이트하도록 권고했다. 과기정통부는 PHP 취약점으로 인한 대규모 해킹 가능성에 대한 경각심을 높이고 선제적으로 대응하기 위해 22일 낮 12시를 기점으로 민간 분야 사이버위기 '주의' 경보를 상향 발령했다.

■PHP, 국내 서버 11만개 적용 추정

PHP는 웹사이트의 로그인과 게시판, 주문 처리 등 다양한 기능을 구현하는 서버 측 프로그래밍 언어다. 이용자가 웹사이트에서 작업을 요청하면 서버에서 해당 프로그램을 실행해 결과를 제공하는 역할을 한다.

온라인 쇼핑몰의 주문내역 조회나 게시판 글 작성, 데이터베이스 연동 등에 활용된다. PHP는 특정 서비스에 국한되지 않고 웹사이트 전반에 폭넓게 적용돼 있다.

웹 기술 분석업체 W3텍스에 따르면 서버 측 프로그래밍 언어를 식별할 수 있는 전 세계 웹사이트 중 약 75%가 PHP를 사용한다. 전체 웹사이트의 약 43%에서 사용되는 콘텐츠관리시스템(CMS) '워드프레스'도 PHP를 기반으로 작동한다. 개인 블로그부터 기업 홈페이지, 온라인 쇼핑몰까지 활용 범위가 넓다.

안랩은 "인터넷 자산 검색 서비스를 통해 조사한 결과 취약한 버전의 PHP가 설치된 것으로 추정되는 국내 서버는 약 11만건에 달해 전 세계에서 6번째로 많은 수준으로 집계된다"며 "오랜 기간 운영된 중소 규모 사이트에는 업데이트가 제때 적용되지 않은 사례가 많다"며 "수정 버전이 배포되기 전부터 이 취약점을 노린 공격 시도가 관측됐다"고 밝혔다.

그러나 이 수치는 보안패치 배포 전을 기준으로 파악한 추정치여서 실제 규모와는 차이가 있을 수 있다고 덧붙였다.

■중소기업·학교 PHP 파악 어려워

이번에 발견된 취약점의 영향을 받는 버전은 PHP 8.2, 8.3, 8.4, 8.5 등 4개 버전이다. 구체적으로 8.2.35, 8.3.36, 8.4.27, 8.5.12 미만 버전이 해당한다. KISA는 각 버전을 해당 버전 이상으로 업데이트할 것을 권고했다. 특히 KISA는 공식 보안 지원이 종료된 PHP 8.1 이하 버전은 지원 중인 버전으로 업그레이드해야 한다고 강조했다.

이번에 발견된 취약점은 공격자가 아이디·비밀번호 없이 인터넷을 통해 특수하게 조작된 요청을 보내는 것으로서, 서버에 원하는 명령을 실행할 수 있어 위험도가 높다. 공격에 성공하면 해커가 서버에 원격조종 파일(webshell)을 몰래 설치하거나 고객정보 유출, 홈페이지 변조·마비 등 중대한 피해로 이어질 수 있다.

문제는 기업들이 PHP가 어느 시스템에 사용되고 있는지, 해당 시스템이 취약한 버전으로 운영되고 있는지 파악하기 쉽지 않은 데다 시간도 오래 걸릴 것이라는 점이다.

특히 웹사이트 개발과 운영을 외부 업체에 맡기거나 자체 보안 인력이 부족한 중소기업과 학교는 취약점의 기술적 내용을 이해하고 대응하는 데 한계가 있을 수 있다는 게 보안 전문가들의 지적이다.

이 때문에 단순히 보안 업데이트를 권고하는 데 그치지 않고 실제 적용 여부를 확인할 수 있도록 지원해야 한다는 목소리가 나온다.

■현장 기술지원 시급

전문가들은 정부가 기업별 점검 실적 취합 등 행정적 절차를 챙기기보다 대응 역량이 부족한 현장에 대한 기술 지원을 우선해야 한다고 강조한다.

김승주 고려대 정보보호대학원 교수는 자신의 SNS를 통해 "PHP 취약점 사태와 관련해 몇 대를 점검하고 조치했는지에 대한 통계보고서는 조금 나중에 회사들에 요청했으면 한다"고 강조했다.

이어 "지금은 취약점 보고서가 무엇을 의미하는지, 자신들도 영향을 받는지조차 파악하지 못하고 있을 중소기업과 학교를 집중적으로 도와주시면 감사할 것 같다"며 "이들에 대해 취약점 해당 여부를 확인하고 필요한 조치를 취할 수 있도록 현장을 지원하는 일이 우선"이라고 덧붙였다.

[email protected] 최혜림 기자