방치한 홈페이지가 해킹 통로 될라…PHP 취약점에 보안업계 긴급 경고

PHP 취약점 2건 심각도 9.2점…오늘 밤 11시 보안 업데이트 예고 EU 사이버보안 대응조직 “즉시 조치 어렵다면 외부 접속 차단 검토” 국내 보안업계도 방치된 홈페이지·구형 버전 점검 당부 웹사이트 개발·운영에 널리 쓰이는 프로그래밍 언어 ‘PHP’에서 심각한 보안 취약점 두 건이 확인돼 국내외 보안업계가 긴급 대응을 주문했다. 공격자가 웹사이트 서버에 침입해 원하는 명령을 실행할 가능성이 제기된 가운데 국내 보안업계에서는 오래된 쇼핑몰과 관리가 소홀한 홈페이지까지 점검해야 한다는 경고가 나왔다.21일 PHP 보안팀에 따르면 이날 오후 11시(한국 시간 기준) PHP 취약점 두 건을 수정하는 보안 업데이트가 공개될 예정이다.두 취약점은 국제 보안 취약점 평가체계(CVSS) 4.0 기준 각각 10점 만점에 9.2점으로 가장 높은 단계인 ‘치명적(Critical)’ 등급에 해당한다.보안팀은 업데이트가 공개되는 즉시 적용할 수 있도록 미리 준비해 달라고 당부했다. 구체적인 취약점 내용과 영향을 받는 버전, 수정 버전은 업데이트 공개 때 함께 발표할 계획이다.◆서버서 명령 실행 가능성…EU “조치 어렵다면 외부 접속 차단 검토”PHP는 서버에서 실행되는 웹 개발용 프로그래밍 언어이자 이를 실행하는 소프트웨어다. 로그인 정보를 확인하거나 저장된 게시글을 불러오는 등 웹사이트 기능을 처리하는 데 쓰인다.이번에 문제가 제기된 취약점은 ‘CVE-2026-109618’과 ‘CVE-2026-109619’다. 보안업계에서는 ‘PHP2Shell’로도 불린다. 외부 공격자가 서버에서 임의의 코드를 실행할 수 있는 ‘원격 코드 실행(RCE)’ 취약점으로 알려졌다. 공격에 성공하면 정보를 빼내거나 웹사이트 내용을 바꾸는 등의 피해로 이어질 수 있다.유럽연합(EU) 기관·기구 사이버보안 대응조직인 ‘CERT-EU’는 PHP로 운영되는 웹사이트와 서비스를 파악하고 보안 업데이트를 준비하라고 권고했다. 즉각적인 조치가 어려운 경우에는 업데이트를 적용할 때까지 해당 서비스의 외부 접속을 차단하는 방안도 검토하라고 밝혔다.워드프레스 보안업체 워드펜스는 웹사이트 제작·관리 도구인 워드프레스 자체 업데이트와 PHP 보안 업데이트는 별개라고 강조했다. 운영자는 사용 중인 PHP 버전과 호스팅 업체의 업데이트 적용 계획을 확인해야 한다고 당부했다.국내에서는 안랩이 긴급 공지를 통해 원격 코드 실행 위험을 경고했다. 다만 공식적인 영향 범위는 아직 ...