PHP 보안 구멍에 정부 ‘주의’ 경보, 무슨 일이고 내 사이트·내 정보는 괜찮을까

어떤 일인가요

웹사이트를 만드는 데 널리 쓰이는 프로그래밍 언어 PHP에서 아주 위험한 보안 결함이 발견됐어요.

로그인을 하지 않아도 외부에서 서버에 원하는 명령을 내릴 수 있는 결함이에요. 이름은 ‘PHP2Shell’이고, 결함 번호는 2개(CVE-2026-109618, CVE-2026-109619)예요.

PHP 개발팀은 10월 21일(현지시간) 결함을 고친 버전을 내놨어요.

정부는 어떻게 대응했나요

과학기술정보통신부와 한국인터넷진흥원(KISA)은 10월 22일 낮 12시 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 올렸어요. 연합뉴스에 따르면 공격 코드까지 공개돼 대규모 해킹으로 이어질 수 있다고 판단했어요.

경보는 4단계예요.

• 관심
• 주의 (지금 단계)
• 경계
• 심각

같은 날 국가안보실은 민·관·군 긴급회의를 열었어요. 개인정보보호위원회도 기업과 기관에 개인정보 유출 예방 조치를 당부했어요.

왜 이렇게 위험한가요

KISA 설명을 쉽게 풀면 이래요.

• 로그인이 필요 없어요. 아이디·비밀번호 없이 인터넷으로 공격할 수 있어요.
• 피해가 커요. 원격조종 파일(웹셸) 설치, 고객정보 유출, 홈페이지 변조, 회사 내부망 침투까지 가능해요.
• 정보가 먼저 샜어요. 고친 버전이 나오기 전에 결함 정보가 퍼졌고, 해외에서 공격 시도가 보고되고 있어요.

위험도 점수는 10점 만점에 9.2점이에요.

홈페이지 프로그램이 아니라 PHP 자체의 결함이라, 홈페이지를 안전하게 만들었더라도 영향을 받을 수 있어요.

국내에는 얼마나 많나요

정확한 공식 집계는 아직 없어요. 보안업체 분석은 이렇게 나왔어요.

• 안랩: 취약한 버전이 깔린 것으로 추정되는 국내 서버 약 11만 건(고친 버전이 나오기 전 기준 추정)
• 시벨앙젤: 공식 업데이트가 끊긴 PHP 8.1 이하를 쓰는 국내 서버 2만4,591대(버전이 확인된 국내 서버의 82%)

연합뉴스는 지금까지 국내에서 접수된 피해 사례는 없다고 전했어요.

어떤 버전이면 안전한가요

PHP 공식 사이트와 KISA 기준이에요.

버전	이 버전 이상으로	보안 지원 끝
8.5	8.5.12	2029년 12월 31일
8.4	8.4.27	2028년 12월 31일
8.3	8.3.36	2027년 12월 31일
8.2	8.2.35	2026년 12월 31일
8.1 이하	고친 버전 없음	이미 끝남

8.1 이하는 지원되는 버전으로 바꿔야 해요. KISA는 8.2도 올해 말 지원이 끝나니 8.3 이상으로 옮기라고 권했어요.

누가 무엇을 하면 되나요

사이트를 직접 관리한다면

• PHP를 위 버전 이상으로 올려요.
• 올린 뒤 웹 서비스를 꼭 다시 시작해요. 안 하면 예전 버전이 계속 돌아가요.
• 10월 20일 이후 접속 기록에서 이상한 흔적이 있는지 봐요.
• DB 비밀번호, 관리자 비밀번호 등을 바꿔요.

호스팅 업체를 쓰는 소상공인이라면

• 업체에 업데이트가 적용됐는지 확인해요. 연합뉴스에 따르면 카페24, 가비아 등은 이미 보안 조치를 했다고 밝혔어요.

일반 이용자라면

• 정부가 따로 안내한 조치는 없어요.
• ‘보안 점검’을 내세운 낯선 문자나 링크는 누르지 않는 게 좋아요.

KISA는 인터넷에 도는 공격 시험 코드(PoC) 중 악성코드가 숨은 가짜가 많다며, 출처가 불분명한 코드는 실행하지 말라고 했어요. 피해가 의심되면 보호나라에 신고하거나 국번 없이 118로 문의하면 돼요.

이게 무슨 의미인가요

인터넷 기초 도구의 문제예요. 특정 회사가 아니라 PHP를 쓰는 모든 사이트가 확인 대상이에요.

오래된 사이트가 가장 위험해요. 만들어 두고 관리하지 않는 사이트일수록 업데이트가 늦어요.

일반 이용자는 침착하게. 내 기기에서 할 일보다, 가짜 보안 안내에 속지 않는 게 더 중요해요.