PHP 치명적 취약점 2건 공개…정부, 사이버위기 경보 '주의' 격상

문제가 된 취약점의 식별번호는 CVE-2026-109618과 CVE-2026-109619다. 취약점 위험도를 점수화하는 공통 평가체계인 CVSS에서 9.2점을 받아 ‘치명적’ 등급으로 분류됐다. 위험의 핵심은 공격자가 원격에서 서버에 임의 명령을 실행하는 원격 코드 실행(RCE)이 인증 과정 없이 가능하다는 점이다. 2026년 10월 20일 취약점 정보가 온라인에 유출되면서 공개 일정은 하루 앞당겨졌다.

8.5.12·8.4.27·8.3.36·8.2.35로 올려야

수정이 반영된 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35다. 8.1 이하는 공식 보안 지원이 끝나 지원되는 상위 버전으로 전환하는 수밖에 없다. 패치를 적용한 다음에는 웹서비스를 재시작해야 효과가 생긴다. 미국 CISA도 2026년 10월 21일 이 네 개 버전으로 즉시 올릴 것을 권고했고, 미국 NSA는 즉시 업데이트하거나 시스템을 오프라인으로 돌리라고 밝혔다.

영향 범위는 웹 생태계 전반이다. W3Techs 기준으로 서버 측 프로그래밍 언어가 식별된 웹사이트 가운데 약 69%가 PHP를 쓴다. 워드프레스, 드루팔, 줌라와 국내에서 많이 쓰이는 그누보드도 PHP 기반이다. mod_php, PHP-FPM, php-cgi, 프랑켄PHP, 라이트스피드 등 실행 환경에 따라 위험도가 갈리는데 mod_php 환경이 가장 높게 평가됐다. 안랩 TIP 집계에서 취약한 PHP 버전을 쓰는 것으로 관측된 국내 호스트는 11만2183개로, 전 세계의 4.35%에 해당하는 여섯 번째 규모였다.

악용 시도 수백만 건, 침해 확인은 아직

아마존은 첫 공격 시도가 패치 공개 나흘 전인 2026년 10월 17일 익명화 네트워크 IP에서 포착됐다며 PHP2Shell이 실제 환경에서 광범위하게 악용되고 있다고 밝혔다. 매슈 프린스 클라우드플레어 최고경영자(CEO)는 공개 전 10시간 수천 건이던 악용 시도가 공개 45분 뒤 수만 건, 2시간 안에 수십만 건을 지나 수백만 건까지 늘었다고 밝혔다.

다만 악용 시도 증가가 서버 장악 성공을 뜻하지는 않는다. 데이터마이너 TRACE는 공개 이후 관측된 활동이 스캐닝과 핑거프린팅, 작동하지 않는 공격 코드 사용에 머물렀고 확인된 침해는 없다고 밝혔다.

해외 공공기관은 선제적으로 서비스를 멈췄다. 영국에서는 정부 서비스 32개가 중단되고 4개가 부분 중단됐으며, 기술담당 장관은 예방적 조치라고 설명했다. 독일, 프랑스, 벨기에, 네덜란드, 핀란드, 체코 등에서도 정부·공공기관 웹사이트가 일시적으로 닫혔다.

정부 “10월 20일 이후 접속기록 확인”

과기정통부는 공격이 성공하면 서버를 원격 조종하는 파일인 웹셸이 설치되고 고객정보 유출, 홈페이지 변조·마비로 이어질 수 있다고 설명했다. 즉시 업데이트가 어려운 경우에는 웹 공격을 걸러내는 보안 장비인 웹방화벽(WAF) 규칙 적용, 외부 접속 차단, 서비스 일시 중단을 검토하라고 권고했다. 이미 패치를 마친 서버라도 2026년 10월 20일 이후의 접속기록과 악성 파일 설치 여부를 따로 확인해야 한다.

배경훈 부총리 겸 과기정통부 장관은 국내 많은 홈페이지가 영향을 받을 수 있고 공격 코드가 이미 공개돼 긴급 대응이 필요하다고 말했다. 국가안보실은 2026년 10월 22일 송기호 3차장 주재로 민·관·군 사이버 안보 긴급대책 회의를 열었고, 과기정통부·국방부·국가정보원 관계자가 참석했다. 행정안전부는 국내 공공 부문이 대부분 자바 기반 전자정부 표준프레임워크를 써 영향이 상대적으로 크지 않다고 설명했다. 국내에서 구체적인 침해 피해는 공식 집계나 공개가 이뤄지지 않았다.

호스팅 업체들도 긴급 대응에 나섰다. 카페24는 2026년 10월 21일 오전 11시 30분부터 PHP 5.4 이상 서버에 임시 방어 조치를 적용했고, 가비아는 2026년 10월 22일 0시부터 긴급 보안 패치에 들어갔다. 이번 취약점은 캘리프와 오픈AI, 위즈 연구진이 GPT-5.6 솔과 제미나이 4 아르곤 등 AI 모델을 활용해 발견·검증한 것이다.