PHP 취약점에 핀란드 국가 인터넷 서비스 중단…국토조사국 웹사이트도 닫은 이유

핀란드 정부의 웹서비스 관리기관 Valtori는 2026년 10월 21일 오후 12시 45분경부터 일부 공개 웹서비스를 예방 차원에서 내리기 시작했다. 당시 PHP에서 중대한 보안 취약점 두 건이 발견됐지만 수정 업데이트가 아직 제공되지 않았기 때문이다. 확인된 공격에 대응한 조치라기보다, 취약한 상태의 서비스를 외부에 계속 노출하지 않으려는 선택이었다.

PHP는 이용자의 브라우저가 아니라 웹서버에서 작동하며, 널리 쓰이는 웹서비스의 핵심 기반 소프트웨어다. 유럽연합 사이버보안 당국은 취약한 서비스에 수정 사항을 적용할 수 없다면 해당 웹페이지를 오프라인으로 전환하라고 권고했다. PHP 개발자들은 그날 오후 5시 핀란드 시간에 두 취약점의 패치를 내놓을 예정이라고 밝혔지만, Valtori가 차단을 시작할 때는 업데이트를 설치할 수 없는 상황이었다.

영향 사례로는 국토조사국 웹사이트가 일시 중단됐고, Yle의 일부 개별 웹서비스도 장애를 겪었다. 목요일 개막을 앞둔 헬싱키 도서전 웹사이트와 핀란드영화재단(SES) 웹사이트도 내려갔다. 이는 모든 서비스가 같은 방식으로 중단됐다는 뜻은 아니다. 탐페레 대학은 PHP를 사용하는 자사 서비스에 대해 웹사이트를 내리는 방안뿐 아니라 VPN에 연결한 이용자만 접근하도록 제한하는 방안도 안내했다.

다만 Valtori는 영향받을 서비스의 전체 목록을 구체적으로 제시하지 않았다. 당시 취약점이 실제 공격에 악용되고 있다는 징후도 없다고 전해졌지만, 상황은 빠르게 바뀔 수 있다는 설명이 뒤따랐다. 따라서 이번 조치의 범위는 확인된 침해에 대한 일괄 대응이 아니라, 패치가 나오기 전까지 취약할 수 있는 공개 서비스를 보호하기 위한 예방적 차단이었다.