PHP 보안 결함에 당국 대응…내 사이트는 어떤 버전부터 점검해야 하나

과학기술정보통신부와 한국인터넷진흥원(KISA)은 2026년 10월 22일 PHP 보안 업데이트를 권고하고, 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 높였다.

이번 결함은 웹사이트 자체 코드가 아니라 PHP 엔진에 있어, 취약한 버전을 쓰면 별도 인증 없이 서버에서 코드를 실행할 수 있다.

외신에 따르면 웹사이트 약 75%가 PHP를 사용하고, 전체 웹사이트 약 43%를 차지하는 워드프레스도 PHP 기반이다.

KISA가 안내한 취약점은 예외 상황 처리 오류(CVE-2026-109618)와 해제된 메모리를 다시 참조하는 ‘해제 후 사용’(CVE-2026-109619) 등 두 건이다.

영향을 받는 버전과 업데이트 기준은 다음과 같다.

PHP 8.1 이하 버전은 공식 보안 지원이 끝나 패치만 기다릴 수 없다.

KISA는 지원되는 버전으로 업그레이드하라고 권고했다.

스틸리언은 홈페이지 전용 페이지에 웹사이트 주소를 입력해 PHP2shell 영향 여부를 확인하는 무료 서비스를 공개했다.

이는 위험을 파악하는 점검 수단이며, 취약점 해소를 위해서는 해당 PHP 환경의 업데이트가 필요하다.

보안업체들도 패치 전 위험을 줄일 대응책을 내놨다.

에버스핀은 자사 웹 보안 솔루션을 쓰는 SaaS 고객 서비스에 공격 차단 규칙을 적용해 요청이 서버에 도달하기 전 걸러낸다고 밝혔다.

다만 이 조치는 공식 패치를 대신하지 않는다.

티오리는 취약점을 재현·검증하고 긴급 대응 가이드를 공개했으며, 위험도를 CVSS v4.0 기준 9.2점으로 평가했다.

티오리가 제시한 임시 완화책은 세션 오류 등 부작용이 있을 수 있고 완전한 방어가 아니어서, 최신 패치 적용이 우선이다.