과기부, 기업 CISO에 공지…“업데이트 권고”

웹사이트·AI 보안 설루션 기업 신속대응 착수

전 세계 웹사이트에서 광범위하게 사용되는 프로그래밍 언어 PHP에 치명적인 보안 취약점이 발견된 가운데, 정부도 긴급 대응에 나섰다.

22일 과학기술정보통신부는 각 기업 최고정보보호책임자(CISO)를 대상으로 PHP 보안 취약점에 따른 른 사고를 예방하기 위해 긴급 보안 조치를 취할 것을 당부했다.

과기정통부는 각 기업에 PHP 보안 취약점에 대한 신속한 대응책 마련을 주문하고 위협 동향을 지속적으로 모니터링해 대응 상황을 점검할 방침이다. 이와 함께 한국인터넷진흥원(KISA)도 전날 보안 공지를 통해 “영향을 받는 버전을 사용 중인 사용자는 해결 방안에 따라 최신 버전으로 업데이트 권고한다”고 밝혔다.

KISA에 따르면, 이번에 확인된 취약점은 ▷예외 상황을 제대로 처리하지 못하는 ‘부적절한 예외 상황 처리’(Improper Handling of Exceptional Conditions, CVE-2026-109618) 취약점과 ▷이미 해제된 메모리를 다시 참조하는 ‘해제 후 사용’(Use After Free, CVE-2026-109619) 취약점 등 2건이다.

영향을 받는 버전은 PHP 8.2와 8.3, 8.4, 8.5 등 4개 버전이다. 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 미만 버전을 사용하는 경우 취약점에 노출된다.

KISA는 특히 PHP 8.1 이하 버전은 이미 공식 보안 지원이 종료된 만큼 지원 중인 버전으로 업그레이드해야 한다고 강조했다.

웹사이트, AI 보안 설루션 등 관련 기업들도 신속한 대응에 나선 상태다.

쇼핑몰 등 웹사이트 운영을 지원하는 카페24는 전날부터 긴급 보안 작업에 나섰다.

카페24는 PHP 5.4 이상이 제공되는 전체 서비스를 대상으로 ‘파일 업로드 진행 상황을 세션에 기록하는 기능(session.upload_progress.enabled)을 비활성화하는 보안 조치를 시행했다.

카페24는 “PHP 5 계열부터 PHP 8 계열까지 광범위한 버전이 영향 대상으로 보고되고 있어, 당사는 고객 서비스 보호를 위해 임시 조치를 긴급 적용한다”고 공지했다.

다만 카페24는 “이번 조치는 취약점으로 인한 위험을 완화하는 임시 조치”라며 “안정적인 보호를 위해 PHP를 최신 버전으로 마이그레이션(업그레이드)하시는 것을 권장한다”고 고객사에 안내했다.

사이버보안 기업 에버스핀도 자사 웹 보안 설루션 ‘에버세이프 포 웹(Eversafe for Web) SaaS’ 고객 서비스에 ‘취약점 공격 대응’ 기능으로 해당 공격을 막는 차단 규칙을 적용했다고 밝혔다.

한편, 이번 보안 취약점이 발견된 PHP는 기업 웹사이트와 콘텐츠 관리 시스템, 전자상거래 플랫폼 등 다양한 웹서비스에 쓰이는 서버 측 개발 언어다. PHP 측이 측정한 위험도는 CVSS 9.2로 ‘치명적(Critical)’ 등급이다.

이번 보안 결함은 별도의 로그인이나 인증 절차 없이 외부에서 임의로 코드를 실행하거나 시스템을 장악할 수 있는 내용인 것으로 알려졌다. 이번 취약점은 인공지능(AI)을 활용해 발견됐으며, 10년 넘게 확인되지 않았던 보안 결함으로 평가된다.

금융권은 PHP 취약점이 자사 서비스에 미치는 영향을 점검하며 대응에 나섰다. KB국민은행은 자체 모니터링을 통해 관련 이슈를 인지한 뒤 보안패치를 적용했다.

신한은행은 취약한 구형 PHP 버전을 사용하는 서비스가 있는지 전수 확인하는 한편 관련 보안패치 적용을 완료했다. 우리은행도 PHP 버전별 취약성을 확인하고 구버전이 적용된 서비스가 있는지 각 부서별로 긴급 점검 중이다. 취약 버전이 확인되면 보안패치 적용과 버전 교체 등 후속 조치에 나설 방침이다. NH농협은행은 웹·앱 서비스에서 PHP를 사용하지 않아 별도 조치 대상이 없다는 입장이다. 박세정 기자


sjpark@heraldcorp.com