[PHP 보안비상] PHP 치명적 보안 비상… 로그인 없이 서버 장악 취약점 발견

[CBC뉴스] 국내 정보기술(IT) 기업과 보안업계가 긴급 대응에 나선 가운데, 약 11만 건에 달하는 국내 인터넷 자산에서 취약한 버전의 PHP가 설치된 것으로 추정돼 보안 패치 적용과 침해 여부 점검이 시급해졌다. 전 세계적으로 널리 쓰이는 프로그래밍 언어 PHP에서 치명적인 보안 결함이 드러나면서, 국내외 관련 기관들이 신속한 대응에 나서고 있다.

PHP는 전 세계 웹사이트의 약 76%가 사용하는 오픈소스 서버 측 스크립트 언어로, 워드프레스 등 오픈소스 콘텐츠 관리 시스템(CMS)과 다양한 전자상거래 플랫폼, 기관 웹사이트의 핵심 기반으로 자리 잡고 있다. 글로벌 웹 기술 조사기관 W3Techs의 조사 결과, 서버 사이드 프로그래밍 언어가 확인된 웹사이트 중 PHP가 차지하는 비중은 76%에 달한다.

이번에 발견된 취약점은 공식 식별 번호 'CVE-2026-109618'과 'CVE-2026-109619'로, 글로벌 공통 취약점 평가 시스템에서 치명적 수준인 9.2점을 받았다. 이 결함은 서버가 HTTP 요청을 처리하는 과정에서 발생하는 메모리 관리 오류로 인해, 공격자가 조작된 데이터를 특정 방식으로 전송할 경우 PHP 코어 엔진의 메모리 한계를 자극해 시스템 내부에서 임의의 코드를 실행할 수 있게 한다.

해당 취약점은 약 10년 전 작성된 PHP 코어 내부 로직에 존재해 왔으나, 최근 보안업체 캘리프 연구진이 오픈AI의 첨단 추론 모델을 활용해 오픈소스 코드를 전수 분석하는 과정에서 지난 8월 처음 발견됐다. AI 기반 분석 도구가 오랫동안 숨어 있던 보안 허점을 구체적으로 규명한 사례다.

PHP 재단은 문제의 심각성을 인지한 뒤 협력 기관들과 논의해 21일 오후 11시 보안 패치 버전을 배포했다. 그러나 패치 공개 전후로 취약점 세부 내용과 공격 개념 증명(PoC) 코드가 유출되면서, 전 세계 네트워크와 허니팟에서 실제 공격 시도가 즉각적으로 관측됐다. 네덜란드를 비롯한 유럽 일부 공공기관은 서버 감염을 막기 위해 대민 웹 서비스를 일시 중단하는 조치를 취했다.

한국인터넷진흥원(KISA)도 21일 긴급 보안 공지를 내고, 국내 기업과 웹서비스 운영자들에게 최신 보안 버전으로 신속히 업데이트할 것을 권고했다. 보안 업계는 공식 기술 지원이 종료된 구버전(PHP 5.x, 7.x, 8.1 이하)을 사용하는 중소·영세 웹사이트들이 특히 위험하다고 지적한다. 이번 공격 원리가 과거 PHP 5.4 버전부터 최신 버전까지 광범위하게 적용될 수 있기 때문이다.

전문가들은 보안 패치 적용 후 웹서버와 PHP-FPM 프로세스 관리자를 완전히 재시작해야 취약점이 차단된다고 설명한다. 또한, 패치 적용 전 인터넷에 노출돼 있던 환경이라면 데이터베이스(DB) 접속 비밀번호와 API 인증 토큰을 변경하고, 시스템 내 웹셸 은닉 여부를 점검하는 것이 필요하다고 조언한다.

이번 사태는 AI가 오랫동안 발견되지 않았던 보안 결함을 찾아내며, 사이버보안 분야에서 인공지능 활용의 새로운 가능성과 함께 잠재적 위험성도 드러냈다는 점에서 주목받고 있다.

★ 네티즌 어워즈 투표하러 가기 ▶
★ 전 세계 팬덤의 결집, cbcglobe.com ▶
★ 돈돈돈, 남몰래 혼자 보는 – 돈 되는 뉴스 ▶

▮ CBC뉴스ㅣCBCNEWS 하영수 기자