과기정통부, ‘PHP2Shell’ 취약점에 사이버위기 경보 ‘주의’ 격상

과학기술정보통신부(이하 과기정통부)가 웹사이트 개발에 널리 사용하는 프로그래밍 언어 ‘PHP’에서 심각한 보안 취약점 2건이 발견됨에 따라 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 상향했다고 22일 밝혔다. 과기정통부는 한국인터넷진흥원(KISA)과 위기평가 회의를 거쳐 이날 낮 12시부터 ‘주의’ 경보를 발령했다.

이번 취약점은 ‘PHP2Shell’로 불린다. 공격자가 별도의 로그인 없이 인터넷을 통해 서버에 명령을 실행할 수 있는 것이 특징이다. 공격에 성공하면 서버를 원격으로 조종하는 악성파일인 웹셸(Webshell)을 설치하거나 고객정보를 유출할 수 있다. 홈페이지 변조와 서비스 마비, 내부망 침투로 이어질 가능성도 있다.

PHP는 홈페이지와 온라인 쇼핑몰, 게시판 등을 만드는 서버용 프로그래밍 언어다. 국내에서 사용하는 워드프레스와 그누보드 등 홈페이지 제작 도구도 PHP를 기반으로 작동한다. 이번 취약점은 개별 홈페이지가 아닌 PHP 자체에서 발견돼 홈페이지 프로그램을 안전하게 개발했더라도 영향을 받을 수 있다.

이번에 발견된 취약점은 CVE-2026-109618과 CVE-2026-109619다. 공통 취약점 평가 시스템(CVSS) 기준 위험도는 9.2점이다. 지난 20일 보안 업데이트가 배포되기 전에 취약점 정보가 유출됐으며, 해외 보안업체를 중심으로 공격 시도도 보고됐다.

PHP 개발팀은 지난 21일 취약점을 해결한 보안 업데이트를 배포했다. 유럽연합과 영국, 네덜란드, 독일 등의 사이버보안 기관도 즉각적인 업데이트를 권고했다. 당장 업데이트하기 어려운 시스템은 인터넷에서 분리하거나 서비스를 일시 중단하도록 안내했다.

과기정통부는 PHP를 사용하는 기업과 기관에 최신 버전으로 긴급 업데이트할 것을 당부했다. 특히 PHP 8.1 이하 구버전은 공식 보안 업데이트가 제공되지 않아 지원되는 상위 버전으로 전환해야 한다. 업데이트 이후에도 서버 접속 기록과 웹셸 설치 여부 등을 확인할 필요가 있다고 강조했다.

민간 분야 사이버위기 경보는 관심·주의·경계·심각 등 4단계로 구분된다. ‘주의’ 경보가 발령되면 침해 대응 인력을 늘리고 비상출동조를 상시 대기시키는 등 비상대응 체계를 가동한다.

과기정통부와 KISA는 정보보호최고책임자(CISO) 신고기업 약 2만8000개, 주요정보통신기반시설 111개, 정보보호 관리체계(ISMS) 인증기업 1068개, 사이버위협정보 공유체계(C-TAS) 회원사 5900개 등에 취약점 정보를 긴급 전파했다. 웹호스팅 업체와 인터넷데이터센터(IDC) 등 주요 기업 688개에도 관련 내용을 전달했다.

배경훈 부총리 겸 과기정통부 장관은 “이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고, 공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다”며 “인터넷 접점 자산에 대한 즉각적인 차단 및 웹방화벽(WAF) 룰셋 선제 적용 같은 자동화된 대응 체계가 필수적”이라고 말했다. 과기정통부는 관계 부처와 협력해 중소기업 대상 보안점검과 조치 요청 방안도 논의할 예정이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network