KISA, PHP 치명적 보안 취약점 발견…"보안 업데이트해야"

"공격자, 임의로 시스템 장악할 수 있어"

한국인터넷진흥원(KISA)이 웹사이트 제작에 널리 사용되는 프로그래밍 언어 PHP에서 취약점이 발견됐다며 보안 업데이트를 권고했다.

22일 KISA에 따르면 이번에 확인된 취약점은 ▲예외 상황을 제대로 처리하지 못하는 '부적절한 예외 상황 처리'(Improper Handling of Exceptional Conditions, CVE-2026-109618) 취약점 ▲이미 해제된 메모리를 다시 참조하는 '해제 후 사용'(Use After Free, CVE-2026-109619) 취약점 등 2건이다.

스위스 제네바 대학교의 웹사이트가 PHP 취약점 발견의 영향으로 접속이 차단된 모습. EPA연합뉴스

영향을 받는 PHP 제품은 8.2, 8.3, 8.4, 8.5 등 4개 버전이다. 구체적으로 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 미만의 버전을 사용한다면 이번 취약점에 노출될 수 있다.

KISA는 사용 중인 PHP를 해당 버전 이상으로 업데이트할 것을 권고했다. 특히 PHP 8.1 이하는 이미 공식 보안 지원이 종료돼 지원 중인 버전으로 업그레이드해야 한다고 강조했다.

이번 취약점은 공격자가 별도의 로그인이나 인증 절차를 거치지 않더라도 외부에서 임의로 코드를 실행하거나 시스템을 장악할 수 있는 결함으로 알려졌다. 이번 보안 결함을 찾아내는 데는 인공지능(AI)이 주요한 역할을 한 것으로 알려졌다.

웹 기술 분석업체 W3Techs 기준 사용된 프로그래밍 언어를 식별할 수 있는 웹사이트의 약 75%가 PHP를 사용하고 있다. 전체 웹사이트의 약 43%가 쓰는 웹사이트 제작 도구인 워드프레스도 PHP를 기반으로 작동한다.

세계 각국도 대책 마련에 나섰다. 네덜란드와 핀란드 등 일부 유럽 국가의 공공기관은 예방 차원에서 웹사이트 운영을 중단했다. 미국 국가안보국(NSA)도 "시스템에 PHP를 사용하는 모든 기관과 기업은 두 가지 중대한 취약점을 해결하기 위한 업데이트를 준비할 것을 권고한다"고 밝혔다.

이명환 기자 lifehwan@asiae.co.kr