전 세계 웹 흔든 PHP 취약점
최근 PHP에서 인증 없이 서버를 원격 조종할 수 있는 고위험 취약점이 발견되면서 전 세계 웹 서비스에 비상이 걸렸습니다. PHP2Shell로 불리는 이 취약점은 CVSS 4.0 기준 9.2점에 달하는데요. 공격자가 별도 로그인 없이 악성 코드를 실행해 서버 장악과 고객 정보 유출로 이어질 수 있습니다.
국내 웹사이트의 약 80%가 PHP를 쓰는 만큼 파장이 작지 않습니다. 해외 평균 70%보다 높은 의존도입니다. 이 취약점은 AI 기반 점검에서 발견됐습니다.
보안업체 캘리프는 오픈AI의 GPT-5.6 솔 모델로 찾아냈고, 구글 계열 위즈도 두 건을 독자 신고했습니다. 국내에서는 약 11만 건의 서버가 취약 버전을 설치한 것으로 추정됩니다.
일본은 서비스 중단, 한국은 경보 격상
일본은 곧바로 대응에 나섰습니다. 스키야와 하마스시는 온라인 주문을, 다이와증권과 미즈호·미쓰비시UFJ은행은 계좌 개설과 지점 예약을 중단했습니다.
정부 부처와 자치단체 서비스, 다카이치 총리 홈페이지도 폐쇄됐습니다. 아직 해킹 피해는 확인되지 않았습니다.
한국도 10월 23일 사이버 위기 경보를 '주의'로 올리고 비상대응 체계를 가동했습니다. 행정안전부는 지자체와 공공기관에 긴급 공문을 보내 PHP 기반 시스템이 있으면 보안 패치를 적용하도록 안내했습니다.
정부24와 지방세 등 217개 시스템은 자바 기반으로 확인됐지만, 일부 지자체와 공공기관의 사용 가능성은 남아 있습니다. 국가안보실은 민·관·군 긴급대책회의를 열고 대응 상황을 점검했습니다.
남은 과제는 패치와 체계 정비
국회에서는 대응 속도가 느리다는 지적도 나왔습니다. 미국과 일본, 중국이 패치 불가 시스템에 대해 오프라인 전환이나 접속 차단을 권고한 반면, 한국은 자율 조치 중심의 '주의' 단계에 머물렀다는 겁니다. 한국인터넷진흥원(KISA)은 공공기관이 PHP를 거의 쓰지 않는다고 했지만, 취약 버전 현황과 패치 완료율은 아직 파악되지 않았고 직접 스캐닝 권한도 없다고 밝혔습니다.
배경훈 부총리는 범부처 종합대책과 사이버 보안 컨트롤타워 정비를 추진하겠다고 했습니다. 보안업계는 실제 서비스 기준으로 PHP 사용 여부를 점검하고, PHP 8.3 이상으로 업데이트한 뒤 모든 서비스를 재시작해야 한다고 강조합니다.
패치만 적용하고 재시작을 생략하면 메모리에 남은 이전 코드가 계속 실행될 수 있습니다. Node.js와 Bun에서도 원격 코드 실행 취약점이 확인돼 당분간 웹 인프라 점검이 이어질 전망입니다.