PHP 취약점 2건에 정부 ‘주의’ 경보…버전별 업데이트 기준

전 세계 웹사이트에 쓰이는 프로그래밍 언어 PHP에서 로그인 없이 서버를 장악할 수 있는 치명적 취약점 2건이 확인됐다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 22일 낮 12시 민간 분야 사이버위기 경보를 '주의'로 격상했다.

확인된 사실

이번 취약점은 CVE-2026-109618과 CVE-2026-109619 두 건이다. 안랩에 따르면 두 취약점 모두 인증 없이 원격 코드 실행(RCE)이 가능하며 CVSS v4.0 기준 9.2점(긴급)으로 평가됐다.

PHP 보안팀은 2026년 10월 21일 보안 업데이트를 배포했다고 안랩은 전했다. 업데이트 기준은 다음과 같다.

• PHP 8.2 → 8.2.35
• PHP 8.3 → 8.3.36
• PHP 8.4 → 8.4.27
• PHP 8.5 → 8.5.12

중앙일보는 PHP 8.1 이하 버전은 공식 보안 지원이 이미 종료돼 단순 패치가 아니라 지원되는 버전으로 업그레이드해야 한다고 전했다. 다만 안랩은 PHP 보안팀이 PHP 7.4, 8.0, 8.1의 소스 코드에 적용할 최소한의 보안 수정 사항도 제공했지만, 이는 일반적인 보안 지원 재개를 뜻하지 않는다고 설명했다. 중앙일보는 네덜란드와 핀란드 등 일부 유럽 국가 정부기관이 예방 차원에서 웹사이트 운영을 일시 중단했다고 보도했다.

국내 상황도 가볍지 않다. 안랩이 인터넷 자산 검색으로 조사한 결과 한국에서도 112,183개 호스트가 취약한 PHP 버전을 쓰는 것으로 추정됐고, 이는 전체 관측치의 약 4.35%에 해당한다고 안랩은 밝혔다. 다만 이 수치는 실제 공격 가능 여부를 의미하지 않는 추정치라고 안랩은 덧붙였다.

배경훈 부총리 겸 과기정통부 장관은 “이번 PHP 취약점은 국내 많은 홈페이지에 영향을 줄 수 있고 공격 코드도 이미 공개돼 신속한 대응이 필요하다”고 말했다고 헬로디디는 전했다.

아직 모르는 것

M이코노미뉴스는 현재까지 국내에서 이번 취약점과 관련해 공식적으로 확인된 침해사고는 없는 것으로 파악됐다고 전했다. 다만 보안 패치 배포 이전부터 해외에서 공격 시도가 보고된 만큼 추가 피해 가능성은 배제할 수 없다고 같은 기사는 덧붙였다.

안랩은 임시 완화 조치만으로 취약점을 완전히 해결할 수 없으며, 보안 업데이트가 유일한 근본적인 대응 방안이라고 전했다. 다만 아이뉴스24는 업데이트를 마친 서버라도 비정상적인 접속 기록과 웹셸 설치 여부 등 침해 흔적을 점검하도록 정부가 권고하고 있다고 전했다.

운영 중인 웹사이트가 있다면 서버의 PHP 버전을 확인하고, 해당 버전이 권고 버전보다 낮으면 업데이트하거나 호스팅업체에 적용 여부를 문의하는 것이 1차 확인 순서다.