[데일리환경=유승철 기자] 웹 개발에 널리 쓰이는 PHP에서 비밀번호 인증 없이 원격 코드를 실행할 수 있는 중대 취약점 2건이 공개되면서 각국 정부와 기업의 긴급 대응이 시작됐다. 한국인터넷진흥원(KISA)도 PHP 제품 보안 업데이트 권고와 기업 보안 대응 수칙을 잇달아 게시했고, 국내 웹서비스 운영자는 사용 중인 PHP 버전과 패치 적용 여부를 점검해야 한다.PHP 개발팀은 21일 보안 공지를 통해 CVE-2026-109618과 CVE-2026-109619를 수정한 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 공개했다. 두 취약점의 CVSS v4.0 점수는 각각 9.2로 ‘치명적’ 등급이다. PHP 공식 공지는 웹 요청을 처리하는 모든 PHP 설치가 위험 대상이며, 즉시 업데이트할 것을 권고했다.취약점의 핵심 위험은 공격자가 정상적인 로그인 없이 서버에서 악성 코드를 실행할 가능성이 있다는 점이다. PHP 공식 설명에 따르면 하나는 메모리 부족 상황에서 내부 요청 데이터가 완전히 초기화되지 않은 채 처리되는 과정과 관련되고, 다른 하나는 이전 요청의 내부 상태가 남아 다음 요청에서 악용될 수 있는 문제다. 실제 공격 가능성이 확인된 경로가 있는 만큼 단순한 서비스 오류가 아니라 서버 장악과 데이터 유출로 이어질 수 있는 보안 문제로 다뤄야 한다. 한국의 대응도 본격화됐다. KISA 보호나라·KrCERT/CC 보안공지 목록에는 10월 21일 ‘PHP 제품 보안 업데이트 권고’, 22일 ‘PHP 보안취약점(PHP2Shell) 관련 기업 보안 대응 수칙’이 게시돼 있다. Reuters는 한국 정부가 PHP 취약점 공개 뒤 사이버보안 경보 수준을 높이고 긴급 대응에 들어갔다고 보도했다.해외에서도 취약점 공개 직후 웹사이트 운영자들이 패치와 서비스 중단 사이에서 대응을 서두르고 있다. Reuters와 AP 보도에 따르면 일부 정부·공공기관 웹사이트가 노출을 막기 위해 일시적으로 서비스를 중단했고, PHP 재단과 보안 연구기관은 공격 시도와 악용 가능성에 대비해 업데이트를 촉구했다.다만 모든 PHP 기반 사이트가 실제 침해를 당했다는 뜻은 아니며, 사용 버전과 서버 구성, 패치 적용 여부에 따라 위험은 달라진다.운영자가 먼저 확인할 항목은 PHP가 웹 요청을 처리하는 서버에 설치돼 있는지, PHP-FPM·Apache mod_php·php-cgi·FrankenPHP·LiteSpeed 등 영향을 받을 수 있는 구성인지, 지원되는 수정 버전으로 업데이트했는지다. PHP 8.1 이하처럼 프로젝트의 공식 지원이 끝난 버전은 배포판이나 장기지원 업체의 보안 수정 제공 여부를 확인해야 한다. 업데이트가 즉시 어려운 경우에는 외부 접근을 제한하거나 서비스를 임시 중단하는 방안도 검토해야 하지만, 공식 공지는 완전한 해결책은 업데이트라고 강조한다.이번 사태는 오픈소스 기반 웹 인프라의 공급망 위험을 다시 드러냈다. 한 기업의 제품만 공격받는 것이 아니라 같은 개발 언어와 서버 구성을 공유하는 수많은 사이트가 동시에 점검 대상이 되기 때문이다. 기업과 공공기관은 취약점 공지를 받은 뒤 패치 파일을 내려받는 데서 멈추지 말고, 자산 목록과 외부 공개 서비스 목록을 대조해 누락된 시스템이 없는지 확인해야 한다.AI가 취약점 발견과 검증 과정에 활용됐다는 점도 보안 대응의 변화를 보여준다. 방어자는 AI를 이용해 오래된 코드의 위험을 빠르게 찾을 수 있지만, 공격자도 공개된 취약점 정보를 자동화해 취약한 서버를 대량 탐색할 수 있다. 따라서 이번 PHP 사태의 대응 속도는 개별 사이트의 보안 수준뿐 아니라 조직이 자산을 얼마나 정확히 파악하고 업데이트 절차를 갖췄는지에 달려 있다.