모델 846건 · 국산 132 · 가격 685 추적 중
이슈 브리핑

PHP 치명적 취약점, 전세계 웹 긴급대응

웹사이트 구동에 널리 쓰이는 프로그래밍 언어 PHP에서 치명적 보안 취약점 2건이 발견돼 전 세계 웹사이트가 긴급 대응에 나섰다. 'PHP2Shell'로 불리는 이 결함은 인증 없이 서버를 장악할 수 있어 각국 정부와 기업이 패치와 서비스 중단으로 맞섰다.

8개 매체·기사 14건·2026-10-29안전과 사기

무슨 일이 있었나

  • PHP 개발팀은 2026년 10월 21일 밤 CVE-2026-109618, CVE-2026-109619 두 취약점을 '치명적' 등급으로 분류해 보안 업데이트를 공개했다.
  • 보안업체 Wiz와 AI 레드팀 기업 캘리프가 AI 도구를 활용해 10년 넘게 숨어 있던 이 결함을 찾아냈다.
  • 네덜란드·핀란드 정부는 패치 공개 전 예방 차원에서 웹사이트를 오프라인으로 전환했고, 덴마크·캐나다·유럽·일본 정부와 병원·학교 사이트도 접속을 중단했다.
  • 한국 정부는 사이버위기 경보 단계를 '주의'로 높였고, 구글·아마존·오픈AI 등은 자사 인프라와 AI를 동원해 방어에 착수했다.
  • 위키피디아·워드프레스·드루팔·디비언트아트·4챈·인터넷 아카이브·클라우드플레어 등도 취약점 공개 후 일시적으로 서비스가 중단됐다.

왜 중요한가

  • 전체 웹사이트의 최대 70%가 PHP를 사용해 이번 취약점의 영향권이 매우 넓었다.
  • 취약점이 약 20년 전 버전까지 모든 PHP에 존재해, 더 이상 지원되지 않는 오래된 사이트는 영구 폐쇄 외에 선택지가 없는 경우도 있었다.
  • 보안업계는 AI가 취약점을 찾아내는 동시에 공격자도 AI로 패치되지 않은 서버를 분석해 노릴 수 있다고 경고했다.

나에게 무슨 상관인가

개인이 직접 PHP 패치를 할 일은 없지만, 평소 쓰는 정부·병원·학교 사이트나 커뮤니티 사이트가 이 사태로 일시 접속 중단됐을 수 있다. 사이트가 갑자기 안 열렸다면 이 취약점 대응 때문일 가능성이 있으니 당장 불안해하기보다는 해당 기관의 공지를 확인하면 된다.

다음에 볼 것

  • Wiz CTO는 추가 악용 사례가 이어지는 '취약점 대란(vulnpocalypse)'이 올 수 있다고 경고했다.
  • 미국 CISA는 발표 시점까지 실제 악용 사례를 확인하지 못했다고 밝혔지만 이후 해킹 공격 시도가 포착됐다는 보도가 나왔다.
  • 패치가 늦은 구형·중소기업 웹사이트의 보안 사각지대 우려가 계속 제기되고 있다.

읽은 원문

이 브리핑은 아래 14건만 근거로 썼습니다