전세계 웹사이트 해킹 '비상'…"보안 업데이트 해야" KISA

웹사이트 프로그램 도구 PHP서 치명적 보안 취약점 발견
"인증 없이 원격 코드 실행 위험"

인터넷 보안 시스템. 기사의 이해를 돕기 위한 이미지. 뉴시스

[파이낸셜뉴스] 전 세계 웹사이트에서 광범위하게 사용되는 프로그래밍 언어 'PHP'에서 심각한 보안 취약점이 발견됐다. 공격자가 별도 인증 없이 원격에서 악성코드를 실행할 수 있는 위험이 제기되면서 국내외 보안당국이 긴급 업데이트를 권고하고 나섰다.

22일 한국인터넷진흥원(KISA)은 최근 PHP에서 '부적절한 예외 상황 처리'(CVE-2026-109618)와 '해제 후 사용'(CVE-2026-109619) 취약점 등 2건이 확인됐다.

부적절한 예외 상황 처리는 프로그램이 예상치 못한 오류나 예외 상황을 제대로 처리하지 못하는 결함이다. 해제 후 사용은 이미 해제된 메모리를 다시 참조하면서 발생하는 취약점으로, 공격에 악용될 경우 프로그램 오작동이나 임의 코드 실행으로 이어질 수 있다.

영향을 받는 버전은 PHP 8.2, 8.3, 8.4, 8.5 등 4개 버전이다. 구체적으로 8.2.35, 8.3.36, 8.4.27, 8.5.12 미만 버전이 해당한다.

KISA는 각 버전을 해당 버전 이상으로 업데이트할 것을 권고했다. 특히 공식 보안 지원이 종료된 PHP 8.1 이하 버전은 지원 중인 버전으로 업그레이드해야 한다고 강조했다.

PHP는 웹사이트 개발에 널리 활용되는 서버 측 프로그래밍 언어다. 웹 기술 분석업체 W3Techs에 따르면 서버 측 프로그래밍 언어를 식별할 수 있는 전 세계 웹사이트 중 약 75%가 PHP를 사용한다. 전체 웹사이트의 약 43%에서 사용되는 콘텐츠관리시스템(CMS) '워드프레스' 역시 PHP를 기반으로 작동한다.

취약점이 광범위한 웹사이트에 영향을 미칠 수 있다는 우려에 해외 보안당국도 대응에 나섰다.

네덜란드와 핀란드 등 일부 유럽 국가 정부기관은 예방 차원에서 웹사이트 운영을 중단했다고 알려졌다. 유럽과 일본, 호주 등의 사이버보안 당국도 관련 보안 업데이트를 권고했다고 전해졌다.

kaya@fnnews.com 최혜림 기자