KISA, PHP2Shell 대응 지침 배포…“업데이트 후 해킹 흔적도 점검해야”

한국인터넷진흥원(KISA)은 프로그래밍 언어 PHP에서 발견된 고위험 보안 취약점 ‘PHP2Shell’에 대응하기 위한 홈페이지 운영자용 안내자료를 26일 배포했다. PHP 사용 여부와 보안 업데이트 방법부터 침해사고가 의심될 때의 대응 절차까지 22개 문답으로 정리했다.

PHP2Shell은 웹사이트와 서버 개발에 널리 사용하는 PHP에서 발견된 보안 취약점이다. 특정 조건에서 공격자가 서버에 악성코드를 실행하는 데 악용할 수 있다. KISA는 홈페이지 운영자가 PHP 사용 여부를 확인하고 최신 버전으로 업데이트한 뒤 침해 흔적까지 점검해야 한다고 강조했다.

홈페이지뿐 아니라 내부 업무시스템도 점검

KISA가 제시한 대응 절차는 세 단계다. 먼저 PHP 사용 여부를 확인하고 최신 버전으로 업데이트해야 한다. 이후 비밀번호를 교체하고 침해 흔적이 있는지 점검해야 한다.

점검 대상은 외부에 공개된 홈페이지에 국한되지 않는다. 워드프레스와 드루팔 등 PHP 기반 홈페이지뿐 아니라 인트라넷, 전사적자원관리(ERP), 그룹웨어 등 내부 업무시스템도 확인해야 한다. 가상사설망(VPN)과 방화벽의 관리 화면에도 PHP가 사용될 수 있다.

현재 사용하지 않는 옛 홈페이지와 관리자 페이지도 점검 대상이다. PHP가 탑재된 장비는 제조사의 보안 공지를 확인하고 사용하지 않는 홈페이지는 폐쇄하도록 권고했다.

KISA는 홈페이지 운영자가 직접 점검하기 어렵다면 제작·호스팅 업체에 PHP 버전과 보안 조치 여부를 문의하도록 안내했다. 스틸리언, 엔키화이트햇, 티오리, 파이오링크 등이 제공하는 무료 점검 서비스도 소개했다. 다만 서비스마다 결과가 다를 수 있어 운영자가 직접 확인할 필요가 있다고 설명했다.

이번 취약점은 로그인 기능이 있더라도 안심할 수 없다. KISA는 사용자 인증 이전 단계에서도 공격이 가능하다고 설명했다.

취약점 3건 대응…업데이트 후 재시작 필요

KISA는 지난 21일 공개된 PHP 취약점 2건(CVE-2026-109618·CVE-2026-109619)과 24일 추가로 공지된 취약점(CVE-2026-115560)에 대한 조치 방법도 안내했다.

21일 공지된 취약점 2건은 최신 버전 업데이트가 필요하다. 24일 공지된 취약점은 보안 업데이트로 패치하되, 적용 전까지 추가 보안 설정을 권고했다.

KISA가 안내한 안전한 PHP 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상이다. 다만 PHP 8.2는 오는 12월 31일 지원이 종료되는 만큼 8.3 이상 버전 사용을 권장했다.

보안 업데이트를 적용했다면 서버를 재시작해야 한다. 업데이트만 진행하고 재시작하지 않으면 변경 사항이 실제 서비스에 반영되지 않을 수 있기 때문이다.

업데이트 과정에서 서비스 장애가 발생할 가능성도 있다. KISA는 사전에 데이터를 백업하고 테스트를 진행하도록 안내했다. 제작·호스팅 업체가 조치를 완료했다고 답변하더라도 실제 적용 버전과 재시작 여부, 추가 보안 설정을 확인해야 한다고 강조했다.

업데이트가 어려운 경우에는 추가 보안 설정과 침해 흔적 점검, 비밀번호 교체 등 임시 조치가 필요하다. 웹방화벽(WAF)을 사용하더라도 모든 공격을 차단할 수는 없어 보안 업데이트를 대체할 수 없다고 설명했다.

특히 PHP 8.1 이하 버전은 지원되는 상위 버전으로 전환해야 한다. 전환 전까지 서비스 일시 중단 등 임시 조치를 검토하고, 운영을 중단하기 어렵다면 화면 변조와 비정상 파일·계정에 대한 감시를 강화하도록 권고했다.

해킹 의심되면 서버 종료보다 침해 흔적 보존

KISA는 취약한 PHP 버전을 사용한다고 해서 반드시 해킹당한 것은 아니라고 설명했다. 다만 보안 업데이트를 완료했더라도 이미 서버에 설치된 악성 파일이 자동으로 삭제되지는 않는다고 강조했다.

이에 따라 업데이트 이후에도 악성 파일과 비정상 계정 등 침해 흔적을 별도로 확인해야 한다. 인터넷에 연결된 데이터베이스(DB) 비밀번호와 외부 서비스 연동 키, 관리자 계정 비밀번호도 교체하도록 권고했다.

홈페이지 화면이 변조됐거나 알 수 없는 파일과 계정이 발견됐다면 서버를 즉시 종료하지 않도록 안내했다. 서버를 종료하면 공격 흔적이 사라져 피해 범위를 확인하기 어려워질 수 있기 때문이다. 이 경우 외부 접속을 차단하고 침해 흔적을 보존한 상태에서 신고해야 한다.

침해사고가 의심되는 운영자는 국번 없이 118 또는 KISA 보호나라를 통해 신고할 수 있다. 고객 개인정보 유출이 확인됐다면 침해사고 신고와 별도로 개인정보보호위원회에 유출 사실을 신고해야 한다.

중소기업과 소상공인은 전국 16개 지역정보보호지원센터에서 상담받을 수 있다. 보호나라의 무료 홈페이지 취약점 점검 서비스도 이용할 수 있다.

KISA는 홈페이지 운영자가 제작·호스팅 업체에 보안 조치를 요청할 때 지난 20일 이후의 침해 흔적 점검 결과까지 확인하도록 안내했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network