PHP 보안 업데이트, 즉시 적용 대상은?

PHP 보안 업데이트가 국내 기업과 기관이 운영하는 누리집과 시스템에 긴급히 요구되고 있다. 과학기술정보통신부와 한국인터넷진흥원은 전 세계 웹사이트 제작에 널리 쓰이는 프로그래밍 언어 PHP에서 심각한 보안 취약점 2건이 발견됐다며, PHP를 사용하는 모든 기업과 기관에 최신 보안 업데이트를 즉시 적용해 달라고 당부했다.

과학기술정보통신부는 이번 취약점을 악용한 대규모 해킹 가능성에 대한 경각심을 높이고 선제적으로 대처하기 위해 2026년 10월 22일 낮 12시부터 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 상향했다.

누리집 전반에 쓰이는 PHP

PHP는 누리집과 온라인 쇼핑몰, 게시판, 관리자 페이지를 비롯한 여러 웹 서비스를 만드는 데 사용되는 프로그래밍 언어다. 국내에서 널리 이용되는 워드프레스와 그누보드 등 누리집 제작 도구도 PHP를 기반으로 작동한다.

따라서 이번 문제는 특정한 종류의 누리집에만 한정되지 않는다. 기업과 기관이 직접 구축한 홈페이지는 물론 외주 업체가 제작한 쇼핑몰, 오래전에 만들어 놓고 현재는 적극적으로 관리하지 않는 누리집, 각종 장비의 관리 화면에도 PHP가 사용됐을 가능성이 있다.

아이디와 비밀번호 없이 공격 가능

이번에 확인된 취약점은 공격자가 아이디나 비밀번호로 로그인하지 않아도 인터넷을 통해 특수하게 조작한 요청을 보내 서버에서 원하는 명령을 실행할 수 있다는 점에서 위험도가 높다.

공격이 성공하면 해커가 서버를 원격으로 조종하는 파일인 웹셸을 몰래 설치할 수 있다. 이를 통해 고객 정보가 유출되거나 홈페이지 내용이 변조될 수 있으며, 웹 서비스가 마비되는 중대한 피해로 이어질 가능성도 있다.

특히 개별 홈페이지 프로그램이 아니라 PHP 자체에서 발견된 취약점이라는 점을 주의해야 한다. 홈페이지 프로그램을 안전하게 제작했더라도 기반이 되는 PHP가 취약한 버전이면 영향을 받을 수 있기 때문이다.

주요국도 치명적 취약점으로 평가

유럽연합 사이버보안기관과 영국, 네덜란드, 독일 등 주요국 사이버보안 기관도 이번 취약점을 ‘치명적’ 등급으로 평가했다. 이들 기관은 보안 업데이트를 즉시 적용해야 한다고 권고했다.

당장 업데이트하기 어려운 시스템에 대해서는 인터넷 연결을 분리하거나 운영을 일시적으로 중단하는 조치가 권고됐다. 외부에서 접근할 수 있는 상태로 취약한 시스템을 계속 운영하는 데 따른 위험을 줄이기 위한 조치다.

2026년 10월 21일 보안 업데이트 배포

PHP 개발팀은 2026년 10월 21일 현지시간 기준으로 취약점 2건을 해결한 보안 업데이트를 배포했다. 한국인터넷진흥원도 같은 날 보호나라에 보안 업데이트 권고문을 게시하고 국내 이용자에게 관련 내용을 알렸다.

PHP를 사용하는 기업과 기관은 현재 운영 중인 모든 홈페이지와 시스템의 PHP 버전을 확인한 뒤 최신 버전으로 즉시 업데이트해야 한다. 일부 대표 홈페이지만 살펴보는 데 그치지 말고 실제 운영되는 전체 시스템을 확인해야 한다.

업데이트를 설치한 뒤에는 웹 서비스를 반드시 재시작해야 보안 조치가 적용된다. 업데이트 파일을 설치했더라도 재시작하지 않으면 변경 사항이 실제 서비스에 반영되지 않을 수 있으므로 해당 절차까지 마쳐야 한다.

PHP 8.1 이하는 상위 버전 전환 필요

PHP 8.1 이하의 구버전에는 공식 보안 업데이트가 제공되지 않는다. 해당 버전을 사용하는 기업과 기관은 단순한 업데이트를 기다리는 것이 아니라 공식적으로 지원되는 상위 버전으로 전환해야 한다.

점검 대상에는 현재 활발하게 사용하는 서비스뿐 아니라 관리가 뜸한 누리집도 포함된다. 오래전에 구축한 홈페이지, 외주 방식으로 제작한 쇼핑몰, 내부 또는 외부에서 사용하는 장비 관리 화면 등 눈에 잘 띄지 않는 시스템까지 빠짐없이 확인할 필요가 있다.

업데이트 뒤 침해 흔적도 확인

취약점에 관한 정보가 이미 공개된 만큼 최신 버전으로 바꾸는 것만으로 점검을 끝내서는 안 된다. 업데이트를 마친 서버에서도 이전에 비정상적인 접근이 있었는지 기록을 확인하고, 서버에 웹셸 같은 원격조종 파일이 설치됐는지도 살펴봐야 한다.

확인해야 할 핵심 사항은 다음과 같다.

• 운영 중인 모든 누리집과 시스템에서 사용하는 PHP 버전 확인
• 지원되는 최신 PHP 버전으로 즉시 업데이트
• 업데이트를 설치한 뒤 웹 서비스 재시작
• PHP 8.1 이하 구버전을 지원되는 상위 버전으로 전환
• 이상 접속 기록과 웹셸 설치 여부 등 침해 흔적 확인
• 오래된 누리집과 외주 제작 쇼핑몰, 장비 관리 화면까지 점검

침해 피해가 의심되는 경우에는 한국인터넷진흥원에 신고해야 한다. 호스팅 서비스를 통해 홈페이지를 운영하는 소상공인 등은 자신이 이용하는 호스팅 업체가 이번 보안 업데이트를 적용했는지 확인하면 된다.

일반 이용자가 지켜야 할 수칙

일반 국민이 이번 PHP 취약점과 관련해 서버에 직접 적용해야 할 조치는 없다. 다만 평소와 마찬가지로 백신 프로그램을 설치하고 운영체제와 프로그램의 최신 보안 업데이트를 유지하는 등 기본적인 보안 수칙을 지키는 것이 권고된다.

인터넷에서 ‘공격 시험 코드’ 또는 PoC라는 이름으로 유포되는 파일에도 주의해야 한다. 이런 파일 가운데에는 악성코드를 숨긴 가짜 파일이 많으므로 출처가 분명하지 않은 코드는 내려받거나 실행하지 말아야 한다.

관련 기업과 시설에 긴급 전파

한국인터넷진흥원은 정보보호최고책임자 신고기업과 주요정보통신기반시설, 정보보호 관리체계 인증기업을 비롯해 웹호스팅사, 인터넷데이터센터, 사이버위협정보 공유 회원사 등에 이번 취약점과 조치 사항을 긴급히 전파했다.

또한 국내외 보안업계와 함께 관련 공격 동향을 지속해서 살피고 있다. 취약점이 인터넷과 직접 연결된 서버에서 악용될 가능성에 대비해 영향을 받을 수 있는 기업과 기관을 대상으로 신속한 확인과 조치를 요청한 것이다.

수동 점검보다 빠른 조치 강조

배경훈 부총리 겸 과학기술정보통신부 장관은 기업이 수동으로 시스템을 점검한 뒤 며칠 안에 패치를 적용하는 통상적인 취약점 관리 주기만으로는 이번 공격을 방어하기 어렵다고 밝혔다.

이어 인터넷과 맞닿아 있는 자산을 즉시 차단하고 웹방화벽 규칙을 미리 적용하는 등 자동화된 대응 체계가 필수적이라고 강조했다. 아울러 전 부처가 함께 대응해야 할 엄중한 상황이라며, 각 부처와 중소기업 대상 보안점검과 필요한 조치를 요청하는 방안을 다룰 예정이라고 설명했다.