PHP 보안 취약점 심각도 9.2점 기록, 긴급 업데이트 예고

웹사이트 개발과 운영에 널리 쓰이는 프로그래밍 언어에서 치명적인 PHP 보안 취약점이 확인돼 국내외 정보기술(IT) 보안업계에 비상이 걸렸다. 외부 공격자가 원격에서 서버의 제어권을 탈취할 수 있는 결함이 보고되면서, 관리가 멈춘 오래된 웹사이트와 구형 쇼핑몰을 노린 사이버 침해 우려가 커졌다.

CVSS 9.2점 기록한 원격 코드 실행 취약점의 실체

이번에 드러난 취약점은 국제 보안 취약점 평가체계(CVSS) 4.0 기준 10점 만점에 9.2점을 기록해 최고 위험 등급인 '치명적(Critical)' 단계로 분류됐다(PHP 보안팀, 2026). 취약점 식별 번호는 'CVE-2026-109618'과 'CVE-2026-109619' 두 건이며, 보안업계에서는 'PHP2Shell'이라는 별칭으로 부른다.

PHP란 웹 서버에서 동적으로 웹 페이지를 생성하고 데이터베이스 연동과 로그인 인증을 처리하는 서버 측 스크립트 언어이자 소프트웨어다. 웹사이트의 핵심 연산을 도맡는 환경인 만큼, 이곳에 결함이 발생하면 서버 인프라 전체가 위험에 노출된다. 이번 결함은 인증 절차를 거치지 않은 외부 공격자가 원격에서 임의의 시스템 명령을 실행할 수 있는 원격 코드 실행(RCE) 취약점으로 파악됐다.

원격 코드 실행 공격에 노출되면 외부 침입자가 서버 내부 데이터베이스에 보관된 회원 정보나 결제 내역을 빼돌릴 수 있다. 웹사이트 화면을 악의적으로 변조하거나 관리자 계정 권한을 탈취해 시스템 전체를 장악하는 피해로도 이어진다. 대규모 서비스 장애와 정보 유출 사고를 막으려면 각 기업은 평소 보안 취약점 점검 및 관리 솔루션을 통해 인프라 상태를 상시 진단해야 한다.

국내외 보안 기구 및 전문 기업의 긴급 경고

국내외 보안 전문 기구들은 공식 패치가 배포되기 전이라도 외부 침입 경로를 사전 점검해야 한다고 일제히 경고했다. 유럽연합(EU) 산하 사이버보안 대응조직인 CERT-EU는 PHP 기반으로 운영되는 웹사이트와 인프라 목록을 긴급 점검하고 보안 업데이트 적용을 준비하라고 권고했다(CERT-EU, 2026). 특히 즉각 조치하기 어려운 시스템은 패치를 적용할 때까지 외부 네트워크 접속을 임시 차단하는 방안을 검토해야 한다고 짚었다.

글로벌 워드프레스 전문 보안업체인 워드펜스는 웹 콘텐츠 관리 도구인 워드프레스 자체 업데이트와 기반 런타임인 PHP의 보안 패치는 별개의 영역이라고 선을 그었다. 웹 관리자가 워드프레스 코어를 최신으로 유지하더라도 서버에서 구동 중인 PHP 버전이 취약하면 해킹 통로가 될 수 있어, 웹 호스팅 업체의 업데이트 계획과 현재 서버 버전을 대조 확인해야 한다고 당부했다.

국내 주요 보안 기업인 안랩 역시 긴급 공지를 게시해 원격 코드 실행 위험성을 알렸다. 안랩은 아직 공식적인 세부 영향 범위가 발표되지 않은 상태이므로 서버 관리자들이 선제적으로 환경을 파악해야 한다고 짚었다. 취약점 정보가 알려지는 시점에는 공격자들의 자동화 공격 시도가 급증하는 경향이 있어 신속한 방어 태세 전환이 필요하다.

그누보드와 방치된 구형 쇼핑몰에 쏠린 위험 요인

국내 웹 환경은 게시판 제작 도구인 그누보드와 독립형 쇼핑몰 구축 솔루션 활용도가 높아 구형 소프트웨어를 둘러싼 위험이 더욱 크다. 보안 전문 기업 티오리의 박세준 대표는 페이스북을 통해 국내 웹 생태계에는 PHP 5나 PHP 7 등 구형 버전을 여전히 유지하고 있는 사이트가 다수 존재한다고 지적했다(티오리, 2026).

박 대표는 "예전에 만들어 두고 잊은 사이트, 외주로 만든 쇼핑몰, 장비 관리 페이지에도 PHP가 숨어 있을 수 있다"며 잠재적 관리 사각지대를 면밀히 확인해야 한다고 밝혔다. 과거에 제작한 뒤 관리가 멈춘 사이트는 침해 시도를 탐지하기 어려워 해커들의 악성 거점으로 악용될 소지가 높다. 패치를 즉시 적용하기 곤란한 상태라면 외부 접속을 선제적으로 차단하는 조치가 필요하다.

기술 지원이 종료된 구형 PHP 환경은 보안 패치 지원을 받지 못해 근본적인 위험을 안고 있다. PHP 공식 정책상 지원 수명(EOL)이 만료된 버전은 중대한 취약점이 발견되더라도 공식 패치가 제공되지 않는다. 이번 취약점의 영향권에 드는 구형 버전을 사용 중인 사이트라면 임시 조치에 머무르지 않고 공식 업데이트를 안정적으로 지원받는 버전으로 인프라를 이전해야 한다.

업데이트 전후 단계별 침해 예방 수칙

서버 관리자는 신규 보안 패치를 설치하는 것에 그치지 않고 사후 침해 징후 분석을 병행해야 한다. 보안 기업 로그프레소는 패치 공개 전 임시 완화책으로 파일 업로드 진행 상황을 확인하는 기능을 꺼 위험 노출을 줄여야 한다고 설명했다(로그프레소, 2026). 이후 패치가 배포되면 공식 수정 버전이나 운영체제(OS) 배포처가 제공하는 최신 패키지를 신속히 설치해야 한다.

패치 완료 이후에는 서버 작동 로그와 파일 시스템의 이상 징후를 집중적으로 들여다봐야 한다. 주요 점검 항목은 PHP 프로세스의 비정상적인 강제 종료 기록, 서버를 원격 조종하는 악성 파일인 웹셸(WebShell)의 생성 여부, 인가되지 않은 외부 서버와의 의심스러운 통신 내역 등이다. 이미 취약점을 통해 백도어가 유입됐을 가능성을 배제할 수 없기 때문이다.

다음은 서버 관리자가 단계별로 이행해야 할 주요 침해 예방 수칙을 정리한 내용이다.

표: PHP 취약점 대응 단계별 점검 수칙

출처: 로그프레소 및 CERT-EU 대응 지침(2026)

표에 정리된 지침과 같이 서버 관리자는 패치 이전의 설정 조정부터 최신 패치 적용, 악성 웹셸 탐색과 프로세스 이상 로그 추적까지 순차적으로 마쳐야 공격 위협을 실질적으로 차단할 수 있다. 관리자는 이번 보안 권고를 계기로 사내 모든 웹 서버의 버전 현황을 파악하고 침해 대응 체계를 재점검할 필요가 있다.