과기정통부, 기업 CISO에 긴급 공지

KISA “영향받는 버전 사용자, 최신 버전으로 업데이트 권고”

카페24, 보안 기업 등 긴급 보안 조치 시행

헤킹 자료사진 [게티이미지뱅크]
헤킹 자료사진 [게티이미지뱅크]

[헤럴드경제=박세정·고재우·차민주 기자] 전 세계 웹사이트에서 광범위하게 사용되는 프로그래밍 언어 PHP에 치명적인 보안 취약점이 발견된 가운데, 정부도 긴급 대응에 나섰다.

22일 과학기술정보통신부는 각 기업 최고정보보호책임자(CISO)를 대상으로 PHP 보안 취약점에 따른 른 사고를 예방하기 위해 긴급 보안 조치를 취할 것을 당부했다.

과기정통부는 각 기업에 PHP 보안 취약점에 대한 신속한 대응책 마련을 주문하고 위협 동향을 지속적으로 모니터링해 대응 상황을 점검할 방침이다.

이와 함께 한국인터넷진흥원(KISA)도 전날 보안 공지를 통해 “영향을 받는 버전을 사용 중인 사용자는 해결 방안에 따라 최신 버전으로 업데이트 권고한다”고 밝혔다.

KISA에 따르면, 이번에 확인된 취약점은 ▷예외 상황을 제대로 처리하지 못하는 ‘부적절한 예외 상황 처리’(Improper Handling of Exceptional Conditions, CVE-2026-109618) 취약점과 ▷이미 해제된 메모리를 다시 참조하는 ‘해제 후 사용’(Use After Free, CVE-2026-109619) 취약점 등 2건이다.

영향을 받는 버전은 PHP 8.2와 8.3, 8.4, 8.5 등 4개 버전이다. 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 미만 버전을 사용하는 경우 취약점에 노출된다.

KISA는 특히 PHP 8.1 이하 버전은 이미 공식 보안 지원이 종료된 만큼 지원 중인 버전으로 업그레이드해야 한다고 강조했다.

[과학기술정보통신부 제공]
[과학기술정보통신부 제공]

웹사이트, AI 보안 설루션 등 관련 기업들도 신속한 대응에 나선 상태다.

쇼핑몰 등 웹사이트 운영을 지원하는 카페24는 전날부터 긴급 보안 작업에 나섰다.

카페24는 PHP 5.4 이상이 제공되는 전체 서비스를 대상으로 ‘파일 업로드 진행 상황을 세션에 기록하는 기능(session.upload_progress.enabled)을 비활성화하는 보안 조치를 시행했다.

카페24는 “PHP 5 계열부터 PHP 8 계열까지 광범위한 버전이 영향 대상으로 보고되고 있어, 당사는 고객 서비스 보호를 위해 임시 조치를 긴급 적용한다”고 공지했다.

다만 카페24는 “이번 조치는 취약점으로 인한 위험을 완화하는 임시 조치”라며 “안정적인 보호를 위해 PHP를 최신 버전으로 마이그레이션(업그레이드)하시는 것을 권장한다”고 고객사에 안내했다.

사이버보안 기업 에버스핀도 자사 웹 보안 설루션 ‘에버세이프 포 웹(Eversafe for Web) SaaS’ 고객 서비스에 ‘취약점 공격 대응’ 기능으로 해당 공격을 막는 차단 규칙을 적용했다고 밝혔다.

[게티이미지뱅크]
[게티이미지뱅크]

한편, 이번 보안 취약점이 발견된 PHP는 기업 웹사이트와 콘텐츠 관리 시스템, 전자상거래 플랫폼 등 다양한 웹서비스에 쓰이는 서버 측 개발 언어다. PHP 측이 측정한 위험도는 CVSS 9.2로 ‘치명적(Critical)’ 등급이다.

이번 보안 결함은 별도의 로그인이나 인증 절차 없이 외부에서 임의로 코드를 실행하거나 시스템을 장악할 수 있는 내용인 것으로 알려졌다. 이번 취약점은 인공지능(AI)을 활용해 발견됐으며, 10년 넘게 확인되지 않았던 보안 결함으로 평가된다.


sjpark@heraldcorp.com