과기정통부가 웹사이트 개발 언어 'PHP' 보안 취약점과 관련해 긴급 보안 업데이트 및 기술적 조치를 당부했다. /사진=클립아트코리아


과학기술정보통신부가 웹사이트 제작에 널리 쓰이는 프로그래밍 언어 'PHP'에서 심각한 보안 취약점 2건이 공개된 데 대응해 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 올렸다. 한국인터넷진흥원(KISA)은 이 취약점을 알리고 최신 버전으로 업데이트할 것을 권고했다.

22일 과기정통부와 KISA에 따르면 PHP 개발진은 21일(현지시각) 취약점 2건을 공개하고 이를 수정한 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전을 배포했다. 개발진은 모든 PHP 사용자에게 즉시 업데이트할 것을 강력 권고했으며 두 취약점이 인증 없이 원격 코드 실행을 허용할 가능성이 있다고 설명했다.



KISA에 따르면 이번에 발견된 취약점은 프로그램이 오류나 예외 상황을 적절히 처리하지 못하는 '예외 상황 부적절 처리'(CVE-2026-109618)와 메모리를 해제한 뒤에도 해당 메모리에 접근하는 '해제 후 사용'(CVE-2026-109619)이다.

영향을 받는 버전은 계열별로 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 미만이다. PHP 8.1 이하 버전은 공식 보안 지원이 종료돼 지원되는 버전으로 전환해야 한다.

PHP는 홈페이지와 온라인 쇼핑몰, 게시판, 관리자 페이지 등 웹서비스를 만드는 데 쓰인다. 워드프레스와 국내에서 많이 쓰이는 그누보드도 PHP를 기반으로 동작한다. 웹 기술 분석업체 W3Techs에 따르면 서버 측 프로그래밍 언어를 확인할 수 있는 웹사이트의 약 75%가 PHP를 사용한다.



과기정통부는 KISA와의 위기평가 회의를 거쳐 PHP 취약점으로 인한 대규모 해킹 가능성에 대한 경각심을 높이고 선제적으로 대응하기 위해 22일 낮 12시부로 주의 경보를 발령했다. 이에 따라 정부는 피해가 발생하면 신속히 대응할 수 있도록 침해대응 인력을 증원하고 비상출동조를 상시 대기시키는 등 비상대응 체계를 가동한다.

배경훈 부총리 겸 과기정통부 장관은 "이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고 공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다"며 "전 부처가 원팀으로 대응해야 할 엄중한 상황으로 각 부처와 협력하여 중소기업 대상 보안점검 및 조치 요청을 논의할 예정"이라고 밝혔다.