- 핵심 쟁점: 과학기술정보통신부와 한국인터넷진흥원(KISA)이 2026년 10월 22일 12시부로 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 상향했다. 아이디·비밀번호 없이 서버 원격조종 파일(웹셸) 설치가 가능한 PHP 치명적 보안 취약점 2건의 위험성과 PHP 8.1 이하 구버전 전환 등 기업 보안 수칙을 분석한다.
- 데이터·기준 검증: 업데이트 후 ‘웹 서비스 재시작’ 누락 주의: 서버에 보안 패치 패키지를 설치했더라도 웹 서버(Apache, Nginx, PHP-FPM 등) 프로세스를 재시작하지 않으면 메모리에 로드된 구버전 취약 코드가 그대로 동작한다.
- 실전 체크포인트: 가짜 ‘공격 시험 코드(PoC)’ 다운로드 절대 금지: 보안 담당자나 개발자가 취약점 여부를 테스트한다며 인터넷에 떠도는 ‘공격 시험 코드(Proof of Concept)’를 내려받았다가 그 안에 숨겨진 악성코드에 감염되는 2차 피해가 속출하고 있어 각별한 주의가 요구된다.
과학기술정보통신부와 한국인터넷진흥원(KISA)이 2026년 10월 22일 발표한 ‘PHP 심각한 보안 취약점 즉시 업데이트 당부 및 사이버위기 경보 상향’ 긴급 공지에 따르면, 정부는 10월 22일 낮 12시부로 민간 분야 사이버위기 경보를 기존 ‘관심’에서 ‘주의’ 단계로 전격 상향했다. 워드프레스(WordPress), 그누보드, 온라인 쇼핑몰 등 국내 대다수 웹사이트가 사용하는 서버 언어인 PHP에서 아이디·비밀번호 없이도 해커가 원격 명령을 실행할 수 있는 치명적 취약점 2건이 발견됐기 때문이다.
과기정통부·KISA ‘PHP 치명적 보안 취약점’ 위험도 및 기업·소상공인 필수 조치 비교표
이번 취약점은 개별 홈페이지의 코딩 실수가 아니라 PHP 언어 엔진 자체의 결함이어서, 웹사이트를 아무리 안전하게 제작했더라도 구버전 PHP를 구동 중이라면 무방비로 뚫릴 수 있다는 점이 가장 치명적이다.
| 점검 항목 | 취약점 메커니즘 및 위험 등급 | 방치 시 발생 가능한 피해 | 기업·기관·쇼핑몰 필수 보안 조치 |
|---|---|---|---|
| 사이버위기 경보 단계 | 2026년 10월 22일 12:00부 민간 분야 ‘관심’ → ‘주의’ 상향 | 취약점 정보 공개 직후 자동화 봇(Bot)을 통한 무차별 대량 해킹 시도 | 수일 내 수동 패치가 아닌 즉각 차단 및 웹방화벽(WAF) 룰셋 선제 적용 |
| 공격 방식 및 국제 평가 | 아이디·비밀번호 없이 특수 조작된 요청 전송으로 서버 명령 실행 (CERT-EU 등 ‘치명적’ 등급) | 원격조종 파일(Webshell) 몰래 설치, 고객 개인정보 유출, 홈페이지 변조·마비 | 10월 21일 배포된 최신 PHP 보안 업데이트 즉시 적용 후 반드시 웹 서비스 재시작 |
| PHP 8.1 이하 구버전 | 공식 보안 업데이트 미제공 (End of Life 구간) | 단순 패치 불가로 인해 상시 원격 코드 실행(RCE) 위험 노출 | 지원되는 PHP 상위 버전으로 즉시 전환 (불가 시 인터넷 분리·일시 중단 권고) |
| 사후 침해 흔적 점검 | 패치 이전에 이미 침투한 잠복 웹셸 존재 가능성 | 업데이트 완료 후에도 해커가 백도어를 통해 서버 통제권 유지 | 이상 접속 로그 및 웹셸 설치 여부 전수 점검, 의심 시 KISA(보호나라) 즉시 신고 |
왜 워드프레스·그누보드·외주 쇼핑몰 운영사가 가장 위험한가: ‘방치된 레거시 PHP’와 가짜 PoC 함정
국내 중소기업과 소상공인 온라인 쇼핑몰, 협회·기관 누리집의 상당수는 외주 용역으로 워드프레스나 그누보드 기반 사이트를 구축한 뒤 서버의 PHP 엔진 버전을 수년째 방치하는 경우가 많다. 특히 PHP 8.1 이하 구버전은 공식 보안 패치조차 제공되지 않아 상위 버전 업그레이드 외에는 해법이 없다. 유럽연합 사이버보안기관(CERT-EU)과 영국·독일·네덜란드 보안 당국이 당장 업데이트가 불가능한 서버는 아예 인터넷망에서 분리하거나 서비스를 일시 중단하라고 권고한 이유다.
- 업데이트 후 ‘웹 서비스 재시작’ 누락 주의: 서버에 보안 패치 패키지를 설치했더라도 웹 서버(Apache, Nginx, PHP-FPM 등) 프로세스를 재시작하지 않으면 메모리에 로드된 구버전 취약 코드가 그대로 동작한다.
- 가짜 ‘공격 시험 코드(PoC)’ 다운로드 절대 금지: 보안 담당자나 개발자가 취약점 여부를 테스트한다며 인터넷에 떠도는 ‘공격 시험 코드(Proof of Concept)’를 내려받았다가 그 안에 숨겨진 악성코드에 감염되는 2차 피해가 속출하고 있어 각별한 주의가 요구된다.
김도윤 AI 전문기자의 IT·산업 판독: 개인정보 유출 과징금 리스크와 소상공인 호스팅 점검법
개인정보보호위원회 역시 이번 PHP 취약점을 통한 고객 DB 유출 위험에 대해 별도의 긴급 당부를 발령했다. 알려진 심각한 취약점을 방치해 고객 개인정보가 유출될 경우 개인정보보호법상 안전조치 의무 위반으로 막대한 과징금 처분을 받을 수 있다. 자체 서버 개발자가 없는 소상공인이나 중소 쇼핑몰 운영자라면 지금 즉시 이용 중인 웹호스팅 업체 고객센터나 공지사항을 통해 호스팅 서버의 PHP 보안 패치 적용 여부와 PHP 버전(8.2 이상 권장)을 확인해야 한다.
핵심 Q&A — 독자가 가장 많이 묻는 실전 질문
김도윤 AI 전문기자 팩트체크Q1. 과기정통부가 민간 분야 사이버위기 경보를 ‘주의’로 상향한 직접적인 원인은 무엇인가?
A. 워드프레스·그누보드·쇼핑몰 등 웹사이트 제작에 널리 쓰이는 PHP 언어 자체에서 공격자가 아이디와 비밀번호 없이도 서버에 원하는 명령을 실행하고 원격조종 파일(웹셸)을 설치할 수 있는 치명적 보안 취약점 2건이 발견됐기 때문이다.
Q2. 현재 PHP 8.1 이하 구버전을 사용하고 있는 기업이나 기관은 어떻게 조치해야 하는가?
A. PHP 8.1 이하 구버전은 공식 보안 업데이트가 제공되지 않으므로 보안 지원이 유지되는 상위 버전으로 즉시 전환해야 하며, 당장 업데이트가 어려운 시스템은 인터넷에서 분리하거나 일시 중단해야 한다.
Q3. 호스팅 업체를 이용해 쇼핑몰이나 홈페이지를 운영하는 소상공인은 무엇을 확인해야 하는가?
A. 자체 서버를 직접 관리하지 않는 소상공인은 이용 중인 웹호스팅 업체에 10월 21일 배포된 PHP 최신 보안 업데이트가 정상 적용됐는지 확인하고, 오래전 외주로 제작해 방치된 이벤트 페이지나 장비 관리 화면에 이상 접속 기록이 없는지 점검해야 한다.
팩트체크 1차 원문 및 공식 통계 출처
- 과기부, PHP 심각한 보안 취약점…보안 업데이트 즉시 적용과학기술정보통신부 · 대한민국 정책브리핑 · 확인 2026-10-23https://www.korea.kr/news/policyNewsView.do?newsId=148974113
