웹사이트 75% 쓰는 PHP서 보안 취약점…KISA “즉시 업데이트”

인증 없이 원격 코드 실행 가능성…PHP 8.2~8.5 영향 유럽 정부기관 웹사이트 운영 중단…AI 활용해 취약점 발견 전라남도 나주시에 위치한 한국인터넷진흥원(KISA) 모습. KISA제공/뉴스1 한국인터넷진흥원(KISA)이 21일 웹사이트 구축에 널리 쓰이는 프로그래밍 언어 ‘PHP’에서 보안 취약점이 발견됐다며 최신 버전으로 업데이트할 것을 권고했다.KISA는 이번에 발견된 취약점이 프로그램에서 오류나 예외 상황을 적절히 처리하지 못하는 ‘예외 상황 부적절 처리’(Improper Handling of Exceptional Conditions·CVE-2026-109618)와 메모리를 해제한 뒤에도 해당 메모리에 접근하는 ‘해제 후 사용’(Use After Free·CVE-2026-109619)이라고 밝혔다.영향을 받는 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 미만이다. 특히 PHP 8.1 이하 버전은 공식 보안 지원이 종료됐기 때문에 지원되는 버전으로 업그레이드해야 한다는 것이 KISA의 설명이다. PHP는 워드프레스와 드루팔, 줌라, 마젠토 등에 쓰이는 프로그래밍 언어로, 온라인 쇼핑몰부터 기업 홈페이지, 각종 웹서비스에 이르기까지 광범위하게 활용되고 있다.웹 기술 분석업체 W3Techs에 따르면 서버 측 프로그래밍 언어를 확인할 수 있는 웹사이트의 약 75%가 PHP를 사용하는 것으로 나타났다.앞서 PHP 개발진은 21일(현지 시각) 취약점을 수정한 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전을 배포하며 모든 PHP 사용자에게 즉시 업데이트할 것을 ‘강력 권고’했다.개발진은 두 취약점이 인증 없이 원격 코드 실행을 허용할 가능성이 있다고 설명했다. 취약점이 악용될 경우 공격자가 로그인 없이 원격에서 악성코드를 실행하거나 웹사이트를 변조할 수 있다.유럽 일부 국가에서는 정부기관 웹사이트 운영을 중단하는 등 대응에 나섰다. 로이터통신은 22일(현지 시각) 독일, 프랑스, 벨기에 정부기관들이 PHP 취약점에 대응해 일부 웹사이트를 일시적으로 중단했다고 보도했다. 핀란드는 예방 조치로 정부 공공 웹서비스를, 체코는 정부 웹사이트 운영을 중단했다.한편 이번 취약점은 보안 전문가가 AI를 활용해 PHP 소스코드를 분석하는 과정에서 발견됐다.월스트리트저널(WSJ)에 따르면 보안업체 캘리프 소속 라이언 오스틴 연구원이 지난 8월 오픈AI의 AI 모델 GPT-5.6 ‘...