PHP 취약 호스트 11만개 확인, 국내 대응은 어떻게 이뤄졌나

국내에서 취약한 PHP 버전을 사용하는 것으로 관측된 호스트가 11만개를 넘었다. 과학기술정보통신부는 대규모 해킹 가능성에 대한 경각심을 높이고 선제 대응하기 위해 2026년 10월 22일 낮 12시 민간 분야 사이버위기 ‘주의’ 경보를 발령했다. 취약점을 악용한 해커들의 공격 시도도 포착됐다.

PHP는 홈페이지, 온라인 쇼핑몰, 게시판과 관리자 페이지 등을 만드는 데 널리 쓰이는 프로그래밍 언어다. W3테크에 따르면 서버 측 언어를 식별할 수 있는 웹사이트의 약 75%가 PHP를 사용하며, 전체 웹사이트의 약 43%를 차지하는 워드프레스도 PHP 기반이다.

글로벌 보안업체 캘리프와 위즈 등은 인공지능을 활용해 10년 넘게 확인되지 않았던 결함을 찾아냈다.

보고된 취약점은 2건으로, 각각 국제 공통 취약점 평가체계(CVSS)에서 9.2점을 받아 최고 위험 등급인 ‘치명적’으로 분류됐다. 공격자는 아이디와 비밀번호 없이 특수 조작한 요청을 보내 서버에서 명령을 실행할 수 있다. 성공하면 원격조종 파일을 설치하거나 고객 정보를 빼내고, 홈페이지를 변조하거나 마비시킬 수 있다.

사이버 위협 인텔리전스 플랫폼 안랩 TIP가 관측한 국내 취약 호스트는 11만2183개로, 전 세계 집계의 4.35%였다. 미국이 54만8420개로 가장 많았고 중국·독일·일본·프랑스가 뒤를 이었다. 한국은 이들 국가 다음인 여섯 번째였다.

국내 호스팅 업체들은 패치와 방어 조치에 나섰다. 카페24는 공식 패치 공개 전인 10월 21일 오전 11시 30분부터 PHP 5.4 이상 서버에 임시 방어 조치를 적용하고, 이후 추가 보안 설정과 공식 패치를 순차 적용했다. 가비아도 22일 0시부터 긴급 패치 작업을 진행했다.

해외에서는 미국 정부가 신속한 업데이트가 어렵다면 시스템을 오프라인으로 전환하라고 권고했고, 유럽연합(EU)은 공동 경고를 발표했다. 독일·프랑스·네덜란드·핀란드에서는 일부 공공 웹사이트를 예방 차원에서 일시 중단했다.

행정안전부는 국내 공공기관 다수가 자바 기반 전자정부 표준프레임워크를 사용해 직접 영향은 상대적으로 작다고 설명했지만, 보안당국은 상황을 예의주시하고 있다.

KISA 취약점관리센터의 배승권 센터장은 PHP를 사용하는 기업과 공공기관이 버전을 확인하고 보안 업데이트를 신속히 적용해야 한다고 강조했다. 보안 역량이 부족한 중소기업과 장기간 관리되지 않은 홈페이지는 PHP 사용 여부와 버전을 점검하고 구형 버전을 업그레이드할 필요가 있다.