"PHP 보안 결함 비상"...이해민 AI 수석 "매우 심각하게 보고 대응중"

세계 웹사이트에 광범위하게 사용되는 프로그래밍 언어인 PHP에서 치명적인 보안 결함이 발견됨에 따라 한국인터넷진흥원(KISA)이 21일 보안 업데이트를 권고했다. 에버스핀과 티오리 등 국내 기업들도 이 결함에 경보령을 내리며 대응 방안을 내놨다. 또 글로벌 보안기업 팔로알토는 세계적으로 약 2200만 개의 PHP 인스턴스가 외부에 노출된 것으로 추정된다면서 역시 즉시 패치를 권했다. 이해민 대통령비서실 AI미래기획 수석도 페이스북에서 "PHP 보안 취약점으로 인한 피해우려가 확산되고 있다"면서 "이 상황을 매우 심각하게 보고 있다. 관련 기관 대응책을 가동중이라는 것을 우선 알린다"고 전했다. KISA에 따르면 이번에 확인된 취약점은 예외 상황을 제대로 처리하지 못하는 '부적절한 예외 상황 처리'(Improper Handling of Exceptional Conditions, CVE-2026-109618) 취약점과 이미 해제된 메모리를 다시 참조하는 '해제 후 사용'(Use After Free, CVE-2026-109619) 취약점 등 2건이다. 영향을 받는 버전은 PHP 8.2와 8.3, 8.4, 8.5 등 4개 버전이다. 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 미만 버전을 사용하는 경우 취약점에 노출된다. KISA는 해당 버전 이상으로 업데이트할 것을 권고했다. 특히 PHP 8.1 이하 버전은 이미 공식 보안 지원이 종료된 만큼 지원 중인 버전으로 업그레이드해야 한다고 강조했다. 이번 PHP 보안 결함은 별도의 로그인이나 인증 절차 없이 외부에서 임의로 코드를 실행하거나 시스템을 장악할 수 있다. 외신에 따르면, 웹사이트의 약 75%가 PHP를 사용하고 있으며, 전체 웹사이트의 약 43%가 쓰는 워드프레스도 PHP를 기반으로 작동한다. 네덜란드와 핀란드 등 일부 유럽 국가 정부기관은 예방 차원에서 웹사이트 운영을 중단했고, 유럽과 일본, 호주 등의 사이버보안 당국도 긴급 업데이트를 권고했다. 에버스핀, 자사 SaaS 고객 서비스에 해당 공격 맏는 차단 규칙 적용 AI 사이버보안 기업 에버스핀(대표 하영빈)은 이날 PHP에서 발견한 치명적 취약점 2건(CVE-2026-109618, CVE-2026-109619)과 관련, 자사 웹 보안 솔루션 Eversafe for Web(에버세이프 포 웹) SaaS 고객 서비스에 '취약점 공격 대응' 기능으로 해당 공격을 막는 차단 규칙을 적용했다고 밝혔다. SaaS 고객사는 PHP 공식 패치가 나오기 전에 적용을 모두 마쳤다. 에버스핀은 "긴급 보안 업데이트를 배포했다. 패치가 나왔지만 실제 서비스에 반영하기까지는 시간이 걸리는 만큼, 운영 기업들의 신속한 영향 점검과 대응이 요구되고 있다"면서 "에버스핀은 공개된 기술 분석을 바탕으로 시험 환경을 구성해, 이번 취약점을 노린 공격 요청이 Eversafe for Web SaaS의 '취약점 공격 대응' 기능에서 차단되는 것을 검증했다"고 밝혔다. 이어 "공격 요청은 고객사 서버의 PHP에 닿기 전에 게이트웨이 단계에서 걸러진다"면서 "기존 고객에게 제공하던 보안 기능이 새로 알려진 취약점 공격에도 바로 대응할 수 있음을 실제 검증으로 확인했다"고 덧붙였다. 에버스핀은 과거 전 세계적으로 파장을 일으킨 Log4j(로그포제이) 취약점 사태 때도 사전 대응이 가능한 보안 솔루션으로 주목받은 바 있다. 회사는 이번 PHP 취약점에서도 차단을 검증하며, 대규모 취약점이 발생했을 때 고객 서비스를 지키는 대응 역량을 다시 확인했다고 밝혔다. 에버스핀은 "기업의 취약점 대응은 보안 업데이트가 공개되는 것으로 끝나지 않는다. 서비스마다 쓰는 PHP 버전과 설정을 파악하고, 패치가 기존 기능과 운영에 미치는 영향을 의존성·호환성까지 점검한 뒤 실제 운영 환경에 반영해야 한다"면서 "여러 시스템이 연결된 서비스일수록 이 과정에 시간이 걸린다. PHP 공식 지원 정책상 보안 지원이 끝난 8.1 이하 버전에는 공식 패치가 제공되지 않아 버전 업그레이드까지 필요하다. 패치를 적용하기 전까지 공격에 노출되는 위험을 줄이는 것이 중요한 이유"라고 설명했다. 에버스핀은 Eversafe for Web SaaS의 '취약점 공격 대응' 기능이 이 기간 동안 고객 서비스를 보호한다고 설명했다. 패치가 나온 뒤에도 고객사가 영향 범위를 점검하고 업데이트를 반영하는 동안, 고객사 서버를 수정하거나 재시작하지 않고 해당 공격을 서버 앞단에서 차단한다는 것이다. 다만 취약점 자체를 해소하려면 공식 패치 적용을 함께 진행해야 한다. 에버스핀은 이번 검증을 계기로 PHP 기반 서비스를 운영하는 고객 지원도 늘릴 계획이다. 그동안 온프레미스 방식으로는 개발 환경 등의 제약 때문에 적용하지 못했던 서비스를 대상으로 클라우드(SaaS) 도입을 검토하고, 서비스별 운영 조건에 맞는 보호 방안을 제안한다는 방침이다. 티오리 "인증없이 원격 코드 실행 가능...위험도 최고 수준" AI 기반 오펜시브 사이버보안 기업 티오리(Theori, 대표 박세준)도 최근 공개된 PHP 엔진의 치명적 취약점, 'PHP2shell(CVE-2026-109618, CVE-2026-109619)'에 대해 자체 재현 및 검증을 완료, 기업 및 기관을 위한 긴급 대응 가이드를 공개했다고 이날 밝혔다. 티오리는 이번에 발견된 'PHP2shell'이 웹 애플리케이션 구현 코드와 상관없이 PHP 엔진 자체 결함으로 인해 발생하는 취약점이라며 "공격자는 별도 인증 없이 서버에서 원격으로 임의 코드를 실행해 서버를 장악하거나, 프로세스 메모리를 읽어낼 수 있다. 위험도 지수인 CVSS v4.0 기준 9.2점(Critical)을 기록할 만큼 파급력이 매우 크다"고 진단했다. 이어 "특히 공식 보안 권고가 발표되기도 전에 개념증명(PoC) 시연 영상과 패치가 적용된 바이너리가 유출되면서, 이를 바탕으로 한 PoC가 빠르게 확산하고 있어 기업들의 신속한 대응이 요구된다"면서 "티오리 연구팀은 공격 코드를 직접 재현 및 검증하는 과정에서 다른 공격자들 역시 동일한 방식의 익스플로잇(Exploit)을 생성·유포하는 것이 시간문제"라고 분석했다". 티오리는 최신 보안 패치가 최선의 해결책이지만, 즉각적인 PHP 엔진 업데이트가 어려운 환경을 위해 긴급 임시 완화 조치 방안도 함께 제시했다. 다만, 임시 조치는 세션 기능 오류 등의 부작용을 유발할 수 있고 완전한 방어가 불가능하므로 신속한 최신 패치 적용이 필수적이라고 강조했다. 티오리 임준오 수석 연구원(AI & Cyber Research팀)은 "PHP2shell은 애플리케이션 코드와 관계없이 서버 전체를 위험에 빠뜨릴 수 있는 최고 위험도의 취약점"이라며 "PoC가 빠르게 퍼지고 있는 만큼 OS 배포판별 패치 유무를 즉시 확인해 최신 버전으로 올리고, 패치 전까지는 티오리가 공개한 임시 완화책과 점검 스크립트를 적용해 설정 상태와 침해 여부를 즉시 확인해야 한다"고 당부했다. 'PHP2shell' 취약점의 세부 메커니즘과 설정 확인 스크립트, 상세 대응 가이드는 진트(Xint) 공식 기술 블로그를 통해 확인할 수 있다고 회사는 덧붙였다.