PHP 보안 취약점 2건에 국제 대응 확산…한국, 업데이트 당부

널리 쓰이는 웹 소프트웨어의 취약점 2건에 긴급 패치

한국인터넷진흥원(KISA)은 로그인 페이지와 쇼핑 서비스, 게시판 등을 운영하는 데 쓰이는 소프트웨어에서 보안 취약점 2건이 확인된 뒤 2026년 10월 21일 웹사이트 운영자들에게 PHP를 업데이트하라고 당부했다. 보고된 위험에는 공격자가 로그인하지 않고도 서버에서 코드를 실행할 가능성이 포함된다.

KISA는 취약점을 예외 상황을 부적절하게 처리하는 CVE-2026-109618과 메모리 해제 후 사용과 관련된 CVE-2026-109619로 확인했다. 업데이트 기준 버전은 PHP 4개 릴리스 계열의 8.2.35, 8.3.36, 8.4.27, 8.5.12다.

과학기술정보통신부와 KISA는 10월 21일 밤 국가 사이버보안 네트워크에 속한 기업과 기관에 보안 조치를 요청했다. 정부 당국은 10월 22일 이 같은 조치 내용을 공개했다. 중소기업의 패치 설치를 돕는 긴급 지원도 검토 중이었다.

통칭 PHP2Shell로 불리는 이번 취약점에 국제사회도 대응에 나섰다. 네덜란드와 핀란드의 일부 정부 기관은 예방 차원에서 웹사이트 운영을 중단한 것으로 알려졌고, 유럽과 일본, 호주의 사이버보안 당국은 업데이트를 촉구했다. 미국 기관들도 즉시 패치할 수 없는 경우 영향을 받은 시스템을 오프라인으로 전환하라고 권고한 것으로 전해졌다.

어떤 PHP 버전을 확인해야 하나?

KISA는 영향을 받은 PHP 계열별로 서로 다른 최소 버전을 제시했다. 계열은 릴리스 버전의 묶음을 뜻한다. 예를 들어 PHP 8.3을 사용하는 웹사이트는 같은 계열에서 수정된 버전이나 이에 적합한 최신 지원 버전으로 업데이트해야 한다.

• PHP 8.2: 8.2.35보다 낮은 버전을 업데이트한다.
• PHP 8.3: 8.3.36보다 낮은 버전을 업데이트한다.
• PHP 8.4: 8.4.27보다 낮은 버전을 업데이트한다.
• PHP 8.5: 8.5.12보다 낮은 버전을 업데이트한다.

KISA는 PHP 8.1 및 이전 버전이 공식 보안 지원을 종료했다고도 경고했다. 해당 버전을 사용하는 운영자에게는 공식 보안 유지보수가 종료된 소프트웨어를 계속 사용하지 말고 지원되는 버전으로 옮기라고 권고했다.

사업자가 먼저 확인할 사항은 웹사이트 서버에서 실행 중인 PHP 버전이다. 호스팅 업체가 해당 소프트웨어를 관리할 수도 있고, 사내 기술팀이 맡고 있을 수도 있다. 노트북 브라우저를 업데이트하는 것은 시스템의 다른 부분을 바꾸는 일이다.

취약점 2건으로 가능한 공격

CVE-2026-109618은 예외 상황, 즉 소프트웨어가 정상 작동 범위를 벗어난 상황을 다룬다. 프로그램은 이런 상황을 안전하게 처리해야 한다. 처리 과정에 문제가 생기면 소프트웨어가 의도하지 않은 방식으로 작동할 수 있다.

CVE-2026-109619는 사용 후 해제(use after free) 취약점으로 설명된다. 소프트웨어는 컴퓨터 메모리의 일부 공간을 일시적으로 할당했다가 작업이 끝나면 해제한다. 이 유형의 취약점은 프로그램이 이미 해제한 공간을 나중에 다시 사용하려 할 때 발생하며, 이로 인해 변경됐거나 다른 작업에 속한 데이터에 접근할 가능성이 있다.

보고된 위협은 인증 없이 원격으로 코드를 실행하는 것이다. 쉽게 말해, 웹사이트 외부의 누군가가 유효한 사용자 이름이나 비밀번호를 입력하지 않고도 서버에 명령을 실행시킬 수 있다. 공격에 성공하면 정보가 노출되거나 악성 소프트웨어가 설치되고 서비스가 중단될 수 있다.

공개된 발표에는 각 취약점을 악용하는 데 필요한 구체적인 서버 구성과 요청 조건이 명시되지 않았다. 따라서 운영자는 영향을 받는 소프트웨어 버전을 확인하고 각자 설치 환경에 맞는 기술 지침을 받아야 한다.

워드프레스가 일반 사업자와도 관련된 이유

PHP는 방문자의 휴대전화나 컴퓨터가 아니라 웹사이트 서버에서 실행된다. 고객이 주문 내역을 요청하면 PHP 프로그램이 데이터베이스에서 관련 기록을 가져와 브라우저로 전송할 페이지를 만들 수 있다. 로그인 시스템과 댓글, 게시판도 같은 방식으로 작동할 수 있다.

웹사이트를 만들고 관리하는 도구인 워드프레스도 PHP 기반으로 작동한다. 따라서 이번 보안 대응은 기반 프로그래밍 언어를 직접 다룰 일이 거의 없는 블로그와 기업 웹사이트, 온라인 쇼핑몰 운영자에게도 영향을 미친다.

웹 기술 측정 서비스 W3Techs의 수치에 따르면 서버 프로그래밍 언어를 확인할 수 있는 웹사이트 가운데 PHP 사용 비율은 약 75%다. 워드프레스는 전체 웹사이트의 약 43%를 차지한다. PHP 비율은 워드프레스 수치보다 범위가 좁은 집단, 즉 모든 웹사이트가 아니라 서버 언어를 식별할 수 있는 웹사이트를 기준으로 한다.

이 수치는 대응 범위가 넓은 이유를 보여준다. 독립적으로 운영되는 수많은 웹사이트가 같은 기반 소프트웨어에 의존하므로, 한 차례의 패치 작업에 공공기관과 대기업, 중소기업이 동시에 참여할 수 있다.

한국, 두 보안 채널을 통해 기업에 대응 요청

과학기술정보통신부와 KISA는 10월 21일 사이버 위협 정보를 분석·공유하는 체계인 C-TAS 참여 기관과 정보보호 최고책임자(CISO)를 지정해 신고해야 하는 기업에 보안 조치를 요청했다.

C-TAS에는 약 5,900개 기업과 기관이 참여하고 있다. 정보통신망 관련 법률에 따라 CISO를 지정하고 과기정통부에 신고해야 하는 기업은 약 3만 곳이다. CISO는 조직의 정보보호 업무를 총괄하는 고위 책임자를 뜻한다.

두 수치는 서로 다른 대상 집단을 나타내며 일부는 겹칠 수 있다. 정부는 보안 권고와 패치 설치를 안내하기 위해 KISA의 공개 사이버보안 포털인 보호나라를 활용하기도 했다.

중소기업은 실무 인력 부족 문제에 직면해 있다. 영향을 받은 설치 환경을 찾아내고 업데이트를 진행한 뒤 웹사이트가 정상 작동하는지 확인할 직원이 없는 곳도 있다. 과기정통부 관계자는 정부가 먼저 보안 지침을 배포했으며 긴급 패치 지원을 검토 중이라고 밝혔다. 지원 시작일이나 대상 기준은 발표되지 않았다.

대응 경과

보고된 경과는 2024년 외부 보안 감사에서 시작해 2026년 10월 패치가 앞당겨 배포되는 데 이른다. 주요 날짜는 다음과 같다.

• 2024년: 외부 감사에서 일부 결함의 징후가 확인된 것으로 전해졌다. 내부 이견과 기존 소프트웨어와의 호환성 우려가 당시 패치 개발이 진행되지 않은 이유로 거론됐다.
• 2026년 10월 21일: PHP 개발자들이 취약점 2건을 수정한 패치를 배포하고 KISA가 업데이트를 권고한 것으로 알려졌다.
• 10월 21일 밤: 한국 당국이 기업과 기관 대상 채널을 통해 보안 조치를 요청했다.
• 10월 22일: 한국 당국이 대응 내용을 공개했다. 당초 패치 배포 예정일도 이날이었다.

취약점 정보가 유출된 뒤 패치 배포가 하루 앞당겨진 것으로 전해졌다. 수정 사항이 공개되기 전에 공격 시도가 탐지된 것으로 알려지면서 운영자들이 신속하게 대응해야 한다는 압박도 커졌다.

2024년 보안 감사 관련 내용은 유지보수의 어려움도 보여준다. 공통 소프트웨어를 변경하면 기존 동작 방식에 맞춰 개발된 애플리케이션에 영향을 줄 수 있다. 특히 다양한 웹사이트와 호스팅 환경에서 쓰이는 언어일수록 호환성 문제로 인해 수리 작업을 조율하기 어려울 수 있다.

AI를 활용한 발견과 독립적인 보안 연구

사이버보안 기업 칼리프(Calif)가 GPT-5.6 Sol로 설명된 오픈AI 모델을 활용해 취약점을 발견한 것으로 전해졌다. 이 결함은 10년 넘게 발견되지 않은 것으로 설명됐다.

구글 계열 사이버보안 기업 위즈(Wiz)도 취약점 2건을 독자적으로 찾아 신고한 것으로 알려졌다. 위즈 공동창업자 아미 루트왁은 이번 취약점을 AI를 활용해 발견한 사례 가운데 가장 심각한 것으로 평가하면서, AI가 없었다면 복잡성 때문에 발견하기가 매우 어려웠을 것이라고 말했다.

오픈AI는 대응을 지원하기 위해 앞선 두 달 동안 연구자와 사이버보안 기업 간 공조를 조율했다고 밝혔다. 이어 앞으로 몇 달 동안 AI를 활용한 유사 취약점 발견 사례가 급증할 것으로 전망했다.

웹사이트 운영자가 당장 해야 할 일은 구체적이다. 설치된 소프트웨어를 확인하고 적절한 수정 사항을 적용한 뒤 서비스를 정상적으로 유지해야 한다. AI를 활용한 발견은 독립적인 연구와 개발자 간 공조, 패치 배포와 함께 이번 사안의 또 다른 측면이다.

일부 당국이 오프라인 전환을 권고한 이유

미국 국가안보국(NSA)은 PHP를 사용하는 기관에 즉시 업데이트하라고 권고하며, 취약점이 악용되면 공격자가 서버 파일 시스템이나 데이터베이스에 접근할 수 있다고 경고한 것으로 전해졌다. 즉시 업데이트할 수 없다면 문제가 해결될 때까지 영향을 받은 시스템을 오프라인으로 전환하라고 권고했다.

미 연방수사국(FBI)도 원격 코드 실행과 민감 정보 및 네트워크 노출 가능성을 경고하며 비슷한 조치를 권고한 것으로 알려졌다. 네덜란드와 핀란드의 일부 정부 기관은 예방 차원에서 웹사이트 운영을 중단했다.

웹사이트를 오프라인으로 전환하면 방문자가 제공 서비스를 이용할 수 없게 되는 즉각적인 비용이 발생한다. 쇼핑몰은 판매가 중단될 수 있고, 공공기관은 정보나 온라인 서식을 제공하지 못할 수 있다. 이 권고는 취약점이 해결되기를 기다리는 동안 노출된 서버를 계속 접속 가능한 상태로 두는 것이 얼마나 심각한 위험인지를 반영한다.

클라우드플레어는 공격 경로에 대응하도록 보호 조치를 업데이트하고 있다고 밝혔다. 웹사이트 운영자에게는 PHP 수정 사항을 설치해 보안 대응에서 제시된 버전으로 기반 소프트웨어를 업데이트하라는 권고도 이어졌다.

운영자가 지금 해야 할 일

웹사이트 운영자는 PHP 설치 환경을 누가 관리하는지 확인하고 현재 버전을 KISA가 제시한 기준과 비교해야 한다. 호스팅 업체를 이용하는 조직은 서버 버전과 업데이트 일정을 업체에 확인해야 한다. 자체 서버를 관리하는 팀은 직접 변경 작업을 진행해야 한다.

워드프레스를 사용하는 기업은 정기적인 웹사이트 유지보수와 함께 PHP 실행 환경도 확인해야 한다. PHP는 콘텐츠 관리 시스템 아래에서 작동하는 별도 소프트웨어 계층이므로, 워드프레스 버전만 확인하면 설치 환경의 일부를 점검하지 못하는 셈이다.

PHP 8.1 이하를 사용하는 운영자는 지원되는 버전으로 옮겨야 한다. 영향을 받는 계열을 이미 사용 중이라면 해당 계열의 수정 버전이나 적절한 최신 지원 버전이 필요하다. 고객 로그인과 주문 내역 조회, 결제 같은 핵심 기능을 시험하면 업데이트 중 발생할 수 있는 서비스 문제를 파악하는 데 도움이 된다.

주요 내용

• KISA는 2026년 10월 21일 PHP 보안 업데이트를 권고하며 CVE-2026-109618과 CVE-2026-109619를 지목했다.
• 제시된 업데이트 기준 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12다.
• KISA는 PHP 8.1 및 이전 버전 사용자에게 지원되는 버전으로 옮기라고 권고했다.
• 보고된 위험에는 공격자가 로그인 없이 원격으로 코드를 실행할 가능성이 포함된다.
• 한국은 보안 네트워크 참여 기관과 CISO 지정 의무 기업에 대응을 요청했다.
• 한국 중소기업을 대상으로 한 긴급 패치 지원이 검토 중이었다.
• 국제 당국은 업데이트를 촉구했으며, 즉시 패치할 수 없는 경우 일부 당국은 일시적인 서비스 중단을 권고했다.