국내 취약 버전 PHP 설치 추정 자산 11만건…공격 시도 관측
카페24·가비아 등 보안 패치 적용…고객사 공지·추가 점검
[EPA=연합뉴스 자료사진. 재판매 및 DB 금지]
(서울=연합뉴스) 권하영 기자 = 전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견돼 국내 정보기술(IT) 기업과 보안업계가 긴급 대응에 나섰다.
국내에서 취약한 버전의 PHP가 설치된 것으로 추정되는 인터넷 자산은 약 11만건으로 파악돼, 관련 패치 적용과 침해 여부 점검이 시급한 상황이다.
◇ 인증 없이 서버 뚫는 PHP2Shell…국내 취약 자산 11만건 추정
22일 보안업계에 따르면 PHP 개발진은 지난 21일(현지시간) 외부 공격자가 별도의 인증 절차 없이 서버에서 명령을 실행할 수 있는 보안 취약점 'PHP2Shell' 2건(CVE-2026-109618·CVE-2026-109619)을 확인하고 수정 업데이트 버전을 긴급 배포했다.
이번 취약점은 공격자가 웹사이트 로그인 등 별도의 인증 절차를 거치지 않고도 인터넷을 통해 서버에서 명령을 실행할 수 있다는 점에서 위험성이 큰 것으로 분석된다. 공격자가 서버 명령 실행 권한을 악용하면 웹사이트에 저장된 정보가 유출되거나 서버 자체가 장악될 수 있기 때문이다.
PHP는 웹사이트에서 이용자의 로그인이나 게시글 작성, 상품 결제 등의 요청을 서버가 처리하도록 하는 프로그램을 만드는 데 쓰이는 프로그래밍 언어다. 전 세계적으로 널리 이용되는 웹사이트 제작 도구인 '워드프레스'도 PHP를 기반으로 한다.
국내에서도 PHP는 웹사이트 구축에 폭넓게 활용된다. 국산 게시판·홈페이지 제작 도구인 '그누보드'와 '라이믹스'를 비롯해 워드프레스로 만든 기업 홈페이지와 중소 쇼핑몰, 일부 공공기관과 학교 홈페이지 등이 PHP를 사용한다.
실제 국내 보안업체 안랩[053800]이 인터넷 자산 검색 서비스를 통해 조사한 결과, 취약한 버전의 PHP가 설치된 것으로 추정되는 국내 호스트(서버)는 약 11만건으로, 전 세계에서 6번째로 많은 수준으로 집계됐다. 다만 이는 보안 패치 배포 전을 기준으로 파악한 추정치여서 실제 규모와는 차이가 있을 수 있다.
안랩은 "오랜 기간 운영된 중소 규모 사이트에는 업데이트가 제때 적용되지 않은 사례가 많다"며 "수정 버전이 배포되기 전부터 이 취약점을 노린 공격 시도가 관측됐다"고 밝혔다.
[에버스핀 제공. 재판매 및 DB 금지]
◇ 호스팅·클라우드 업체들, 보안패치 적용·안내 조치
PHP 기반 웹사이트는 서버 공간을 빌려주는 호스팅 업체나 클라우드 사업자가 운영하는 서버에서 구동되는 경우가 많다. 이에 관련 기업들은 자사 시스템의 취약점을 조치하고 고객사에 대응 방안을 안내하는 등 긴급 대응에 나서고 있다.
온라인 쇼핑몰 구축 서비스와 웹호스팅을 제공하는 카페24[042000]는 이번 취약점에 대응하기 위한 PHP 보안 패치를 적용하고 고객에게 관련 조치 사항을 공지했다고 밝혔다.
카페24 관계자는 "이번 취약점은 원격 코드 실행으로 이어질 수 있는 심각한 보안 취약점"이라며 "다만 실제 영향은 PHP 버전과 서비스 운영 환경, 보안 설정 등에 따라 달라질 수 있어 일률적으로 판단하기는 어렵다"고 말했다.
가비아도 22일 새벽 패치 작업에 착수해 웹호스팅 서비스에서 제공하는 PHP 버전 가운데 취약점의 영향을 받는 버전 전반에 대한 보안 조치를 완료했다고 전했다. 공식 지원이 종료된 버전에는 취약점을 수정하는 백포트 패치나 완화 조치를 적용했다.
가비아 관계자는 "가비아 웹호스팅은 가비아가 서버를 관리하고 웹사이트 소스는 고객이 직접 제작·관리하는 구조"라며 "이에 따라 고객이 자신의 웹사이트 환경에 맞는 PHP 버전을 직접 선택하고 필요하면 바꿀 수 있도록 하고 있다"고 언급했다.
NHN클라우드는 자체 시스템을 점검하는 한편 고객사 대응 방안도 검토하고 있다.
NHN클라우드 관계자는 "자체 시스템 전반에서 현재 PHP를 쓰지 않고 있지만, 만일의 상황에 대비해 시스템 전반을 전수조사하며 이번 사태가 미칠 추가 영향을 분석하고 있다"며 "자사 인프라를 쓰는 고객사를 대상으로 패치 적용 등 조치를 안내하는 방향도 검토하고 있다"고 전했다.
국내 보안 업체 에버스핀은 고객사 대상으로 자사 웹 보안 솔루션에 이번 취약점을 겨냥한 공격을 막는 차단 규칙을 적용했다고 밝혔다. 공격 요청이 고객사 서버의 PHP에 닿기 전 게이트웨이 단계에서 차단되는 것을 자체 시험 환경으로 검증했다는 설명이다.
[티오리 제공. 재판매 및 DB 금지]
◇ 취약 서버 점검·침해 여부 확인해야…대응 가이드 공개
국내 IT·보안업계에 따르면 현재까지 이번 취약점과 관련해 접수된 침해 사고나 피해 의심 사례는 확인되지 않았다.
다만 취약점을 노린 공격 시도가 이미 관측된 만큼, 실제 피해가 확인되지 않았더라도 취약한 서버를 찾아 보안 조치를 서두르고 침해 여부를 점검해야 한다는 지적이 나온다.
사이버보안 기업 티오리는 이번 취약점 2건을 자체적으로 재현·검증하고 긴급 대응 가이드를 공개했다.
임준오 티오리 AI&사이버리서치팀 수석연구원은 "PHP2Shell은 애플리케이션 코드와 관계없이 서버 전체를 위험에 빠뜨릴 수 있는 최고 위험도의 취약점"이라며 "패치 전까지는 임시 완화책과 점검 스크립트를 적용해 설정 상태와 침해 여부를 즉시 확인해야 한다"고 당부했다.
kwonhy@yna.co.kr