PHP 취약점에 보안 비상...구형 서버·중기 ‘사각지대’

국내 취약 PHP 호스트 11만건 추정
정부 사이버위기 '주의' 상향

▲AI 생성형 이미지

전 세계 웹사이트의 70%에 사용되는 프로그래밍 언어 PHP의 취약점이 드러나면서 기업들의 보안 공백 우려가 커지고 있다. 특히 PHP 구버전을 사용하는 중소기업과 협력사를 중심으로 대응에 어려움을 겪을 가능성이 제기된다.

25일 정보통신(ICT) 업계에 따르면 PHP 개발팀은 치명적인 보안 취약점 2건(CVE-2026-109618·CVE-2026-109619)을 해결한 업데이트를 배포했다. PHP는 홈페이지와 온라인 쇼핑몰, 게시판 등 웹서비스를 구축하는 데 사용하는 프로그래밍 언어다. 이번 취약점은 공격자가 별도의 인증 없이 서버에서 악성 명령을 실행하는 데 악용될 수 있어 신속한 보안 조치가 요구된다.

하지만 국내에서 취약한 PHP 버전을 사용하는 것으로 추정되는 인터넷 자산은 상당수다. 안랩의 사이버 위협 인텔리전스 플랫폼 ‘안랩 TIP’에 따르면 국내에서 관측된 취약 버전 PHP 사용 호스트는 11만개가 넘는다.

오래된 홈페이지를 운영하는 중소기업과 소상공인은 대응이 쉽지 않을 전망이다. 외부 개발업체에 홈페이지 구축을 맡긴 뒤 유지보수 계약이 종료됐거나 전담 관리자가 없는 경우 PHP 사용 여부와 버전을 확인하는 단계부터 어려움에 직면할 수 있다. PHP 8.1 이하 버전은 이번 긴급 보안 업데이트 대상에 포함되지 않아 지원되는 상위 버전으로 전환해야 한다. 하지만 기존 홈페이지나 업무 프로그램과의 호환성 문제로 즉각적인 전환이 어려워지면 보안 공백이 불가피하다.

한국인터넷진흥원(KISA)에 따르면 올해 상반기 국내 랜섬웨어 피해 신고 145건 중 중소기업이 92건, 중견기업이 36건으로 전체의 88.3%를 차지했다. 보안 인력 격차도 크다. ‘2025 정보보호 실태조사’에 따르면 종사자 250명 이상 기업의 평균 정보보호 담당 인력은 4.4명인 반면 10~249명 기업은 1.3명에 불과하다. 영세 사업장이 더욱 큰 위험에 노출될 가능성이 크다는 의미다.

정부는 긴급 대응 체계를 가동하고 보안 조치를 안내하는 등 대비에 나섰다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 22일 낮 12시를 기해 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 상향했다. 침해 대응 인력을 증원하고 비상출동조를 상시 대기시키는 등 대응 수위를 높였다.

개인정보보호위원회는 PHP 취약점 악용에 따른 개인정보 유출 방지를 위해 긴급 보호조치를 권고했다. 보안 업데이트와 DB 관리도구의 외부 접근 제한, 개인정보 대량 조회·반출 여부 점검 등을 당부했다. 외주·수탁업체와 호스팅 환경의 PHP 사용 현황도 확인하도록 했다.

양청삼 개인정보위 사무처장은 “이번 취약점이 대규모 개인정보 유출로 이어질 우려가 있는 만큼 보안 업데이트와 의심스러운 접속 점검 등 관리 체계를 강화해야 한다”고 말했다.