모델 842건 · 국산 132 · 가격 681 추적 중
이슈 브리핑

PHP 치명적 취약점, 전세계 웹사이트 비상

프로그래밍 언어 PHP에서 치명적 보안 취약점 2건이 발견돼 전 세계 웹사이트가 일시 중단되고 각국 정부와 기업이 긴급 대응에 나섰다. 해당 결함은 인증 없이 서버를 장악할 수 있어 보안업체 Wiz는 "소프트웨어 역사상 가장 심각한 취약점 중 하나"라고 평가했다.

7개 매체·기사 12건·2026-10-23안전과 사기

무슨 일이 있었나

  • PHP 개발팀이 2026-10-21(현지시각) 치명적 취약점 2건(CVE-2026-109618, CVE-2026-109619, CVSS 4.0 기준 9.2점)을 공개하고 보안 업데이트를 배포했다.
  • 위키피디아·워드프레스·드루팔·디비언트아트·4챈·인터넷 아카이브 등 PHP 기반 주요 사이트와 클라우드플레어가 취약점 공개 후 일시적으로 서비스가 중단됐다.
  • 네덜란드·핀란드 정부기관은 패치 공개 전 예방 차원에서 정부 포털을 오프라인으로 전환했고, 덴마크·캐나다도 일부 서비스를 중단했으며 유럽 각국 정부·병원·학교 사이트도 접속을 긴급 차단했다.
  • 한국 과학기술정보통신부는 2026-10-22 오전 0시를 기해 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 상향했고, 스틸리언은 같은 날 무료 취약점 점검 서비스를 선보였다.
  • 구글 계열 보안기업 위즈와 AI 레드팀 기업 캘리프가 AI 도구를 활용해 10년 넘게 숨어 있던 이 결함을 찾아냈다고 밝혔다.

왜 중요한가

  • 이 취약점은 약 20년 전 PHP 버전까지 모든 버전에 존재하며, 전체 웹사이트의 최대 70%가 PHP를 사용해 영향 범위가 매우 넓다.
  • 인증 없이 공격자가 서버에서 임의 코드를 실행하거나 서버를 장악할 수 있는 결함으로, 공개 이후 이미 수백만 건의 공격 시도가 포착됐다.
  • AI가 10년 넘게 숨어 있던 결함을 찾아낸 사례인 동시에, 보안업계는 공격자 역시 AI로 취약점을 분석해 패치 안 된 서버를 노릴 수 있다고 경고했다.

나에게 무슨 상관인가

직접 서버를 운영하거나 워드프레스·그누보드 등 PHP 기반으로 홈페이지를 만들어 관리하고 있다면 패치가 적용됐는지 확인해야 한다. 일반 이용자가 당장 해야 할 조치는 없지만, 자주 쓰는 사이트가 일시적으로 접속되지 않거나 느려질 수 있다. 웹사이트를 직접 운영하지 않는다면 당장은 직접적인 영향이 없다.

다음에 볼 것

  • 미국 CISA는 보도 시점까지 실제 악용 사례를 확인하지 못했다고 밝혔는데, 이후 추가 공격 확인 여부가 관심사다.
  • 장기간 관리되지 않은 구형 PHP 사이트들이 패치를 적용하지 못해 영구 폐쇄되는 사례가 늘어날지 지켜볼 필요가 있다.
  • 스틸리언의 무료 점검 서비스 등 국내 대응 조치가 중소기업·구형 홈페이지까지 얼마나 확산되는지 확인해야 한다.

읽은 원문

이 브리핑은 아래 12건만 근거로 썼습니다