세계 웹사이트 70% 사용 'PHP' 결함에 해킹 비상...각국 '보안 업데이트' 권고

전 세계 웹사이트의 최대 70%가 사용하는 프로그래밍 언어에서 치명적인 보안 취약점이 발견돼 각국 기업과 기관들이 주요 웹사이트의 오프라인 전환에 착수하는 등 긴급 대응에 나섰다.

21일(현지시간) 월스트리트저널(WSJ)과 로이터통신 등에 따르면 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 'PHP'에서 두 건의 심각한 보안 취약점이 발견됐다.

PHP는 웹 개발에 널리 사용되는 프로그래밍 언어로, 흔히 '웹의 중추'라고 불린다. PHP는 워드프레스와 위키피디아의 미디어위키 같은 인기 플랫폼을 포함해 전 세계 모든 웹사이트의 약 70%를 구동한다.

이번 PHP 보안 결함은 별도의 로그인이나 인증 절차 없이 외부에서 임의로 코드를 실행하거나 시스템을 장악할 수 있는 내용인 것으로 알려졌다.

이번 취약점은 인공지능(AI)을 활용해 발견됐는데 해커가 AI를 활용해 취약한 웹서버를 공격하면 임의의 프로그램을 실행하거나 시스템을 장악할 수 있다.

PHP 개발진은 이날 결함을 수정한 긴급 보안 패치를 배포했다.

유럽과 일본, 호주 등의 사이버보안 기관들은 PHP 이용자들에게 즉시 업데이트하거나 보안 패치를 적용할 수 있을 때까지 웹사이트 운영을 중단할 것을 권고했다.

◆한국 KISA, 보안 업데이트 권고

한국인터넷진흥원(KISA)은 22일 웹사이트 제작에 널리 쓰이는 프로그래밍 언어 'PHP'에서 취약점이 발견됐다며 보안 업데이트를 권고했다.

KISA에 따르면 이번에 확인된 취약점은 예외 상황을 제대로 처리하지 못하는 '부적절한 예외 상황 처리'(Improper Handling of Exceptional Conditions, CVE-2026-109618) 취약점과 이미 해제된 메모리를 다시 참조하는 '해제 후 사용'(Use After Free, CVE-2026-109619) 취약점 등 2건이다.

영향을 받는 버전은 PHP 8.2와 8.3, 8.4, 8.5 등 4개 버전이다. 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 미만 버전을 사용하는 경우 취약점에 노출된다.

KISA는 해당 버전 이상으로 업데이트할 것을 권고했다. 특히 PHP 8.1 이하 버전은 이미 공식 보안 지원이 종료된 만큼 지원 중인 버전으로 업그레이드해야 한다고 강조했다.

◆美 "즉각 업데이트 못하면 오프라인 전환"

미국 당국도 21일(현지시간) 각 웹사이트의 '오프라인 전환'을 당부했다.

미 국가안보국(NSA)은 이날 소셜미디어 엑스(X)에서 "시스템에 PHP를 사용하는 모든 기관과 기업은 두 가지 중대한 취약점을 해결하기 위한 업데이트를 준비할 것을 권고한다"고 밝혔다.

NSA는 "이런 취약점은 종종 서버의 파일 시스템이나 데이터베이스에 직접 접근할 경로를 제공한다"며 "즉각적인 업데이트가 불가능하다면, 취약점이 완전히 해결될 때까지 해당 시스템을 오프라인 상태로 전환할 것을 권고한다"고 말했다.

미 연방수사국(FBI)도 악의적인 행위자들(해커들)이 웹사이트와 웹 애플리케이션을 구동하는 프로그래밍 언어인 PHP에서 원격으로 코드를 실행할 수 있다고 경고했다.

FBI는 민감한 데이터와 네트워크가 침해될 위험이 커졌다며, 운영자들이 즉시 업데이트할 수 없다면 웹사이트를 오프라인 상태로 전환할 것을 권고했다.

사이버보안 기업 아틱울프의 이스마엘 발렌수엘라 부사장은 "인터넷의 기업 및 상업 인프라 중 상당 부분이 잠재적 위험에 노출됐다"면서, 모든 웹사이트에 취약점이 있다는 의미는 아니지만 "즉각적인 주의"가 필요하다고 강조했다.

◆네덜란드·핀란드 등 유럽 주요 공공기관 접속 차단

유럽 국가도 21일(현지시간) 예방적 조치로 주요 웹사이트의 오프라인 전환에 속속 착수했다.

로이터 통신에 따르면 네덜란드는 여러 국가 기관이 국가사이버보안센터의 권고에 따라 대외용 웹사이트를 오프라인으로 전환했다. 유럽 최대 항만인 로테르담 항만을 비롯해 정부 포털사이트(Overheid.nl), 네덜란드축구협회, 주요 정당 웹사이트, 주요 병원 웹사이트의 서비스가 중단됐다.

핀란드에서도 정부 공공 네트워크 서비스가 예방적 조치 차원에서 오프라인으로 전환됨에 따라 광범위한 접속 불능 사태가 벌어지고 있다.

덴마크의 지방자치단체를 위한 IT기업 콤비트도 공립학교 소통 플랫폼을 비롯해 다수의 서비스를 중단했다고 밝혔다.

벨기에에서도 외무부와 사이버보안센터 등 국가기관, 플란데런 정부와 의회 웹사이트 등 지자체가 선제적 차원에서 웹사이트 운영을 중단했고, 학교 플랫폼 스마트스쿨과 주요 언론매체의 웹사이트 등 민간 분야에서도 접속이 차단되고 있다고 벨기에 영자지 브뤼셀타임스가 보도했다.

앞서 유럽연합(EU)은 전날 PHP에서 보안 취약점이 발견돼 해킹 우려가 커졌다며 PHP 개발사가 보안 패치를 배포하는 즉시 이를 업그레이드하라는 내용의 보안 권고문을 발표했다.

EU 사이버보안 당국은 만약 보안 패치 적용이 여의치 않을 경우 해당 웹사이트를 오프라인으로 전환하는 방안을 고려해야 한다고 강조했다.

[중앙신문 = 남상훈 기자 (nsh21@jasm.co.kr)]