웹사이트와 온라인 서비스를 구동하는 PHP에서 인증 없이 서버의 코드를 실행할 수 있는 중대한 보안 취약점이 확인되면서 한국 정부가 22일 정오 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 높였다. 미국 국가안보국(NSA)도 보안 업데이트를 서두르고, 즉시 조치하기 어려운 시스템은 위험을 줄일 때까지 외부 연결을 중단하는 방안을 검토하라고 권고했다.
이번 사안은 특정 사이트의 접속 장애에 그치지 않는다. 회사 홈페이지나 예약·판매 서비스를 운영하는 사업자는 서비스를 맡긴 업체가 PHP를 사용하는지, 수정 조치를 완료했는지 확인할 필요가 있다. 다만 PHP를 쓴다는 사실만으로 해당 사이트가 이미 해킹됐거나 이용자 정보가 유출됐다고 단정할 수는 없다.
한국은 경보 상향, 미국은 취약 자산 확인 주문
뉴시스가 보도한 과학기술정보통신부 대응 내용에 따르면 정부는 경보 상향과 함께 대응 인력과 비상 출동 체계를 강화하고 호스팅·클라우드·보안 업체들과 협력하기로 했다. MBC는 국가안보실이 22일 민·관·군 긴급 대책회의를 열어 PHP 사용 현황과 보안 조치, 임시 보호 방안 및 침해 흔적 점검을 논의했다고 전했다.
NSA는 21일 발표한 권고에서 인터넷에 연결된 기기와 서비스 가운데 취약한 PHP 버전에 의존하는 자산을 우선 파악해야 한다고 밝혔다. PHP 자체의 수정판뿐 아니라 PHP를 포함하는 다른 소프트웨어 업체의 후속 패치도 살펴야 한다는 설명이다. 기관은 민감한 자료 탈취나 서비스 중단 등으로 이어질 가능성을 경고했지만, 모든 시스템에서 그런 피해가 발생했다고 발표한 것은 아니다.
수정 버전 적용이 우선
PHP 개발진이 공개한 취약점 식별번호는 CVE-2026-109618과 CVE-2026-109619다. 웹 요청을 처리하는 PHP 설치 환경이 대상이며, 개발진은 특히 Apache의 mod_php 방식에서 위험이 크다고 설명했다. 취약점은 홈페이지 화면이나 특정 플러그인만의 문제가 아니라 PHP 실행 환경 자체에 있다.
개발진은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35에서 두 문제를 수정했다고 밝혔다. 운영자는 자신이 사용하는 계열과 배포업체의 안내를 대조해 해당 수정판을 적용해야 한다. PHP 8.1 이하의 오래된 계열은 일반적인 공식 업데이트 대상이 아니므로, 장기 지원 업체가 제공하는 수정 여부나 지원 버전으로의 이전을 별도로 확인해야 한다.
영국 국가사이버보안센터(NCSC)는 인터넷에 노출된 시스템부터 점검하고 최신 수정판을 적용하라고 권고했다. 당장 업데이트가 불가능하면 개발진이 제시한 임시 완화 조치를 검토하되, 그것도 적용할 수 없거나 시간이 오래 걸리면 시스템을 오프라인으로 전환하는 방안을 고려하라는 안내다. 임시 조치를 적용했다는 이유만으로 위험이 모두 해소됐다고 보아서는 안 된다.
업데이트와 피해 확인은 별도 절차
한국인터넷진흥원(KISA)이 22일 게시한 안전 수칙은 패치 적용뿐 아니라 재시작과 로그 점검 등 후속 확인도 안내한다. 침해가 의심되는 경우에는 조사에 필요한 증거를 먼저 보존해야 한다. 웹서버·애플리케이션 로그에서 의심스러운 활동을 확인하는 일은 취약한 코드를 교체하는 작업과 구분된다.
미국 거주 한인 사업자도 외부 제작사나 호스팅 업체에 관리를 맡겼다면 적용 버전과 수정 완료 여부를 확인하는 것이 핵심이다. 고객에게는 확인된 장애나 조치 내용을 알리되, 조사되지 않은 정보 유출을 기정사실로 안내하지 않는 것이 필요하다.
출처
