웹사이트 개발 언어 ‘PHP’서 치명적 보안취약점 발견, 전세계 해킹 비상

전 세계 웹사이트 개발에 널리 사용되는 프로그래밍 언어 PHP에서 서버를 원격으로 장악할 수 있는 치명적인 취약점이 발견됐다. 별도 인증 없이 악성코드를 실행하거나 서버에 저장된 정보에 접근할 수 있는 취약점으로, 영향 범위가 특정 웹사이트나 소프트웨어에 국한되지 않는다는 점에서 우려가 크다. 유럽 일부 국가에서는 정부와 공공기관의 웹서비스를 예방적으로 중단하는 상황까지 벌어지고 있다.

22일 보안업계에 따르면, PHP 보안팀은 지난 21일(현지시간) ‘PHP2Shell’로 불리는 취약점 2개(CVE-2026-109618·CVE-2026-109619)에 대한 긴급 보안패치를 배포했다. 두 취약점 모두 공통 취약점 평가체계(CVSS) 4.0 기준 9.2점으로, 최고 위험 등급인 ‘치명적(Critical)’에 해당한다.

PHP는 웹서버에서 로그인과 회원정보 관리, 데이터베이스 연동 등 웹서비스의 핵심 기능을 처리하는 데 사용하는 오픈소스 프로그래밍 언어다. 워드프레스(WordPress), 드루팔(Drupal), 줌라(Joomla) 등 주요 콘텐츠관리시스템(CMS)의 기반 기술이기도 하다.

웹 기술 통계업체 W3테크스(W3Techs)에 따르면 PHP는 서버 측 프로그래밍 언어를 식별할 수 있는 전 세계 웹사이트의 약 69%에서 사용된다.

이번 취약점은 특정 웹사이트 개발자가 작성한 코드가 아니라 PHP 자체의 메모리 처리 과정에서 발생한다. 따라서 PHP를 기반으로 구축된 기업과 공공기관의 자체 웹서비스도 사용하는 버전과 서버 구성에 따라 영향을 받을 수 있다.

PHP 자체 메모리 결함…공격 성공 조건은 달라

PHP2Shell은 서버가 웹 요청을 처리하는 과정에서 메모리를 비정상적으로 관리하는 문제와 관련된다.

CVE-2026-109618은 메모리 부족으로 작업이 중단되는 과정에서 내부 데이터가 완전히 초기화되지 않아 메모리 처리에 오류가 발생하는 취약점이다. CVE-2026-109619는 이전 웹 요청에서 사용한 메모리 상태가 정상적으로 초기화되지 않아 이미 해제된 메모리를 다시 참조하는 ‘유즈 애프터 프리(Use After Free)’ 오류를 일으킨다.

공격자는 이러한 결함을 악용해 별도의 로그인 과정 없이 서버에서 원격으로 코드를 실행할 수 있다. 공격에 성공하면 PHP가 실행되는 계정의 권한 범위에서 서버의 파일이나 데이터에 접근하거나 악성 프로그램을 설치하는 등 추가 공격을 시도할 수 있다.

PHP 보안팀에 따르면, 이번 취약점은 아파치 웹서버의 mod_php뿐 아니라 PHP-FPM, php-cgi, 프랑켄PHP(FrankenPHP), 라이트스피드(LiteSpeed) 등 다양한 PHP 실행 환경에 영향을 미친다.

특히 mod_php 환경에서는 웹 애플리케이션의 코드가 실행되기 전에 인증되지 않은 요청으로 취약점을 악용할 수 있는 공격 방식이 입증됐다. PHP-FPM에서도 특정 조건에서 원격 코드 실행이 확인됐다. 다만 모든 서버 환경에서 동일한 방식으로 공격이 성공하는 것은 아니다.

국내 오펜시브 보안 전문기업 엔키화이트햇 관계자는 이번 취약점이 파급력은 크지만 실제 공격을 성공시키려면 서버 환경에 맞는 조건을 충족해야 한다고 설명했다.

엔키화이트햇 관계자는 “PHP 버전별로 공격에 필요한 코드가 달라 하나의 공격 코드를 무작위로 사용하는 방식으로는 확산에 제약이 있다”고 설명했다. 또 “메모리 주소를 무작위로 배치하는 등의 보호 기법으로 공격이 한 번에 성공하지 못할 수 있으며, 공격 과정에서 서버가 비정상적으로 종료될 가능성도 있다”고 덧붙였다.

다만 그는 공격에 제약이 있다는 사실이 취약점 악용 자체가 어렵다는 의미는 아니라고 했다. 이미 보안 연구진이 실제 공격을 재현한 만큼 서버 환경에 맞는 공격 코드를 개발하면 침해로 이어질 수 있다는 것이다.

유럽 공공서비스 중단…AI가 오래된 취약점 공격 경로 확인

취약점이 공개되면서 유럽에서는 정부와 공공기관의 웹서비스를 일시 중단하는 조치가 이어졌다.

로이터에 따르면, 독일과 프랑스, 벨기에, 네덜란드, 핀란드, 체코 등의 정부기관과 공공서비스 운영기관이 PHP 취약점에 대비해 일부 웹사이트를 일시적으로 중단했다. 독일 연방 IT 서비스 제공기관과 프랑스 내무부, 체코 정부 등이 예방적 대응에 나섰으며 네덜란드 로테르담항과 의료기관 관련 웹서비스도 영향을 받았다.

이번 취약점의 공격 가능성을 확인하는 과정에서 인공지능(AI)이 활용됐다는 점도 주목된다.

PHP 재단에 따르면, 이번 취약점 가운데 메모리 부족 처리와 관련된 문제는 2024년 처음 발견됐다. 당시 외부 보안 감사를 수행한 쿼크슬랩(Quarkslab)의 지적 사항을 수정하던 PHP 핵심 개발자가 문제의 단서를 확인했다.

그러나 당시에는 실제 원격 공격에 이용할 구체적인 방법이 확인되지 않았다. 수정 과정에서 기존 프로그램과의 호환성 문제와 서비스 장애 가능성 등이 제기되면서 대응도 지연됐다.

이후 AI를 활용한 보안 연구가 진행되면서 공격 가능성이 구체화됐다. 보안업체 캘리프(Calif)는 지난 8월11일 해당 결함을 이용한 원격 코드 실행 가능성을 PHP 보안팀에 보고했다. 오픈AI도 같은 날 동일한 원인의 취약점을 독립적으로 보고했으며 위즈(Wiz)는 8월24일 추가 공격 경로를 제시했다.

PHP 재단은 연구진의 분석으로 취약점의 실제 영향이 명확해지면서 8월부터 해당 문제의 수정을 최우선 과제로 추진했다고 설명했다.

당초 취약점은 개발팀의 보안패치 준비에 맞춰 공개될 예정이었으나 지난 20일 관련 정보가 온라인에 유출되면서 공개 일정이 앞당겨졌다. PHP 보안팀은 21일 긴급 업데이트를 배포했다.

취약점 공개를 전후해 공격 시도도 관측됐다. 로이터에 따르면, 매슈 프린스 클라우드플레어 최고경영자(CEO)는 취약점 공개 이후 자사 네트워크에서 탐지한 공격 시도가 수백만건에 달했다고 밝혔다.

다만 공격 시도가 탐지됐다는 사실이 실제 서버 침해 성공을 의미하는 것은 아니다. 국내에서도 현재까지 구체적인 침해 피해 사실 여부가 공식 집계되거나 피해 규모가 공개되지는 않았다.

정부, 사이버위기 경보 ‘주의’ 격상…긴급 대응 권고

국내에서도 정부 차원의 긴급 대응에 나섰다. 과학기술정보통신부는 한국인터넷진흥원(KISA)과 위기평가 회의를 거쳐 22일 낮 12시부터 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 상향했다. PHP 취약점으로 인한 대규모 해킹 가능성에 대비하기 위한 조치다. ‘주의’ 경보가 발령되면 침해 대응 인력을 늘리고 비상출동조를 상시 대기시키는 등 비상대응 체계를 가동한다.

과기정통부와 KISA는 정보보호최고책임자(CISO) 신고기업 약 2만8000개, 주요정보통신기반시설 111개, 정보보호 관리체계(ISMS) 인증기업 1068개, 사이버위협정보 공유체계(C-TAS) 회원사 5900개 등에 취약점 정보를 긴급 전파했다. 웹호스팅 업체와 인터넷데이터센터(IDC) 등 주요 기업에도 관련 내용을 전달했다.

배경훈 부총리 겸 과기정통부 장관은 “이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고, 공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다”며 “인터넷 접점 자산에 대한 즉각적인 차단 및 웹방화벽(WAF) 룰셋 선제 적용 같은 자동화된 대응 체계가 필수적”이라고 말했다.

KISA는 PHP 기반 웹사이트를 운영하는 기업과 기관에 최신 보안 업데이트를 즉시 적용하도록 권고했다. 취약점이 해결된 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상이다. 업데이트 이후에는 웹서비스를 재시작해야 한다. PHP 8.1 이하 구버전은 공식 보안 지원이 종료돼 지원되는 상위 버전으로 전환해야 한다.

KISA는 취약점 정보가 유출된 지난 20일 이후의 서버 접속 기록과 웹셸 설치 여부도 점검하도록 했다. 특히 비정상적인 서버 오류와 명령 실행 흔적 등을 확인하고 주요 인증정보를 교체할 것을 권고했다. 즉시 업데이트하기 어렵다면 웹방화벽 차단 규칙을 적용하거나 외부 접속을 차단해야 한다. 침해 정황이 발견되면 서버를 격리하고 관련 증거를 확보한 뒤 KISA에 신고해야 한다.

글. 바이라인네트워크

<곽중희 기자> god8889@byline.network