해킹 이미지. 셔터스톡
전 세계 웹사이트에서 광범위하게 사용되는 프로그래밍 언어 PHP에서 외부 공격자가 별도의 로그인이나 인증 없이 임의 코드를 실행할 수 있는 치명적인 보안 취약점이 발견됐다.
한국인터넷진흥원(KISA)은 PHP 이용자와 웹사이트 관리자들에게 즉시 보안 업데이트를 적용할 것을 권고했다.
KISA에 따르면 이번에 확인된 취약점은 예외 상황을 제대로 처리하지 못하는 ‘부적절한 예외 상황 처리’ 취약점(CVE-2026-109618)과 이미 해제된 메모리를 다시 참조하는 ‘해제 후 사용’ 취약점(CVE-2026-109619) 등 2건이다.
영향을 받는 제품은 PHP 8.2·8.3·8.4·8.5 버전이다.
구체적으로 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12보다 낮은 버전을 사용하고 있다면 취약점에 노출될 수 있다.
KISA는 각 버전을 해당 보안 업데이트 버전 이상으로 올릴 것을 당부했다.
특히 PHP 8.1 이하 버전은 공식 보안 지원이 이미 종료된 만큼 단순한 패치가 아니라 현재 지원되는 PHP 버전으로 업그레이드해야 한다고 강조했다.
이번 취약점은 공격자가 별도의 로그인이나 인증 절차를 거치지 않고 외부에서 임의의 코드를 실행하거나 시스템을 장악하는 데 악용될 가능성이 있는 것으로 알려졌다.
파급력도 상당할 것으로 예상된다.
웹 기술 분석업체 W3Techs에 따르면 사용된 프로그래밍 언어를 확인할 수 있는 전 세계 웹사이트 가운데 약 75%가 PHP를 사용하고 있다.
전체 웹사이트의 약 43%에서 사용되는 콘텐츠관리시스템(CMS) 워드프레스도 PHP를 기반으로 작동한다.
취약점 공개 이후 해외에서도 긴급 대응에 나섰다.
네덜란드와 핀란드 등 일부 유럽 국가의 정부기관은 예방 차원에서 웹사이트 운영을 일시 중단한 것으로 전해졌다.
유럽과 일본, 호주 등의 사이버보안 당국도 관련 시스템 관리자들에게 긴급 보안 업데이트를 적용하라고 권고했다.
웹사이트 관리자들은 현재 사용 중인 PHP 버전을 확인하고 취약 버전을 사용하고 있다면 가능한 한 신속하게 최신 보안 버전으로 교체할 필요가 있다.
정재홍([email protected])