PHP는 심각한 보안 취약점을 노출하고 있으며 글로벌 웹사이트 운영자는 긴급하게 패치 상태에 들어갑니다.

PHP 개발팀이 발표한 보안 공지에 따르면 두 취약점의 심각도 점수는 9.2점이며 CVSS v4.0 취약점 점수 시스템을 사용하여 만점은 10점입니다. 개발팀에서는 모든 PHP 사용자에게 미리 준비하여 수정 사항이 출시되는 대로 업그레이드할 것을 당부하고 있습니다. 또한, 해당 취약점의 세부 내용이 사전에 공개되거나 해당 취약점이 실제로 악용되는 것으로 확인될 경우 패치를 사전에 공개할 수도 있다고 밝혔습니다.

PHP는 인터넷 인프라에서 가장 널리 사용되는 서버측 프로그래밍 언어입니다. 많은 웹사이트에서는 이를 사용하여 웹 페이지를 생성하고, 사용자 요청을 처리하고, 데이터베이스에 연결하고, 백그라운드 비즈니스 로직을 수행합니다. WordPress, Drupal, Joomla, Magento를 포함한 주류 ​​콘텐츠 관리 시스템과 전자상거래 플랫폼은 모두 PHP를 광범위하게 사용합니다. 따라서 이 취약점의 잠재적 영향은 특정 ​​소프트웨어나 특정 유형의 웹 사이트에만 국한되지 않고 수많은 인터넷 서비스에 영향을 미칠 수 있습니다.

이 중에서 특히 워드프레스(WordPress)의 영향력 범위가 주목할 만하다. 작년에 WordPress가 발표한 데이터에 따르면 이 플랫폼은 전 세계 웹사이트의 40% 이상을 지원합니다. 사이버 보안 회사인 Wordfence는 WordPress 웹 사이트가 PHP가 설치된 서버에서 실행되는 경우가 많기 때문에 기본 PHP 환경에 패치가 적용되지 않은 취약점이 있는 한 관련 웹 사이트가 위험에 처할 수 있다고 지적합니다.

보안 연구원들은 잠재적으로 영향을 받는 인터넷 호스트의 수가 130만 개가 넘는 것으로 추정합니다. 그러나 이 숫자는 연구원의 예비 추정치이며 모든 관련 호스트가 손상되었음을 의미하지 않으며 모든 웹사이트가 반드시 동일한 정도로 영향을 받을 것이라고 결론을 내릴 수도 없습니다.

원격 코드 실행 취약성은 공격자가 합법적인 계정이나 로그인 자격 증명 없이도 악성 코드를 실행하기 위해 네트워크를 통해 취약한 서버에 특별히 제작된 요청을 보낼 수 있기 때문에 위험합니다. 공격이 성공하면 웹 사이트 페이지 변조, 서버의 데이터 도용, 악성 프로그램 이식, 심지어 전체 서버 제어까지 포함할 수 있습니다. 사용자 프로필, 고객 정보 또는 거래 기록을 저장하는 웹사이트의 경우 침해는 더 광범위한 데이터 침해 및 비즈니스 중단으로 이어질 수도 있습니다.

보안 연구 기관인 watchTowr는 현재 유출된 관련 정보에 근거하여 이 두 가지 취약점이 PHP 5부터 여러 버전에 영향을 미칠 수 있다고 밝혔습니다. 그러나 PHP가 공식적으로 취약점의 세부 사항과 영향을 받는 버전 목록을 완전히 공개하기 전에 구체적인 영향 범위는 공식 발표를 거쳐야 합니다.

문제를 더욱 까다롭게 만드는 것은 웹마스터가 WordPress의 자동 업데이트 기능에만 의존하여 문제를 해결할 수는 없다는 것입니다. Wordfence는 이번에 취약점이 WordPress 핵심 프로그램이나 플러그인이 아닌 PHP 자체에 존재한다는 점을 특히 상기시킵니다. 따라서 웹사이트에서 WordPress 코어 및 플러그인을 자동으로 업데이트하더라도 서버가 실제로 실행되는 PHP 환경은 별도로 업그레이드해야 할 수 있습니다.

가상 호스팅을 사용하는 사용자의 경우 PHP는 일반적으로 호스팅 제공업체에서 유지관리합니다. 웹 사이트가 자체 관리되는 가상 사설 서버, 클라우드 서버 또는 독립 서버에서 실행되는 경우 유지 관리 책임은 웹 사이트 소유자 또는 시스템 관리자에게 있습니다. 웹사이트 운영자는 현재 사용 중인 PHP 버전, 서버 관리 주체, 서비스 제공업체가 적시에 복구 버전을 배포할지 여부를 확인해야 합니다.

유럽 사이버보안 긴급대응팀(CERT-EU)과 영국 국립사이버보안센터는 모두 경고를 발령하여 즉시 복구를 완료할 수 없는 조직은 취약성이 효과적으로 완화될 때까지 인터넷 연결 애플리케이션을 공용 네트워크에서 일시적으로 격리하거나 관련 웹사이트를 직접 오프라인으로 전환해야 한다고 권고했습니다. EU는 이 취약점으로 인해 공격자가 시스템에 로그인하지 않고도 악성 코드를 실행할 수 있다는 점을 구체적으로 지적했습니다. 따라서 조직은 영향을 받는 자산을 사전에 식별하고 긴급 업데이트에 대비해야 합니다.

일부 기관에서는 이미 예방 조치를 취했습니다. 모바일 운영체제 GrapheneOS 개발팀은 해당 취약점에 대한 개념 증명 공격 코드가 개발 중이기 때문에 불필요한 위험을 감수하지 않기 위해 사용자 토론 포럼을 일시적으로 폐쇄했다고 밝혔습니다. PHP 개발자 Gina Peter Bagyard도 패치를 설치하는 것이 문제 해결의 열쇠라고 말했습니다. 제때에 복구할 수 없는 경우 서버를 종료하는 것이 더 안전한 선택일 수 있습니다.

사이버보안 연구원들은 패치가 공개된 후 공격자들이 패치 전후의 코드 차이를 빠르게 분석해 취약점을 악용하는 방법을 알아내고 업데이트되지 않은 서버에 대규모 공격을 가할 수도 있다고 경고했습니다. 보안 연구 기관 산섹(Sansec)은 패치 공개 후 불과 15분 안에 대규모 공격이 발생할 수 있다고 예측했다. 이러한 예측은 해당 기간 내에 공격이 반드시 발생한다는 의미는 아니지만, 취약점이 공개된 이후 위험이 급격히 확산될 것이라는 보안 업계의 우려를 반영한 ​​것입니다.

한편 Cloudflare 최고 기술 책임자인 Dane Knecht는 플랫폼이 PHP를 실행하는 웹사이트를 표적으로 삼는 공격의 초기 징후를 관찰했다고 말했습니다. Cloudflare는 공식 패치가 출시될 때까지 추가 보호를 제공하기 위해 일시적으로 방화벽 규칙을 조정하고 있습니다. 그러나 그는 이러한 조치는 과도기적 해결책으로만 사용될 수 있으며 공식적인 수리를 대체할 수는 없다고 강조했습니다.

호주 사이버보안센터는 당시 이 두 가지 취약점과 관련된 확인된 악용 활동은 발견되지 않았다고 밝혔으며, 조직은 가능한 한 빨리 내부적으로 PHP를 실행하는 시스템의 인벤토리를 조사하고, 사전 패치를 준비하며, 애플리케이션의 이상 여부를 지속적으로 모니터링할 것을 권고했습니다. 보안 기관마다 공격 상황에 대해 서로 다른 입장을 내놓고 있는데, 이는 위협 인텔리전스가 여전히 빠르게 변화하고 있음을 의미하며, 웹 사이트 운영자는 아직 대규모 공격이 확인되지 않았다고 해서 시스템이 안전하다고 가정해서는 안 됩니다.

일반 웹사이트 소유자들이 이번 사건에서 얻을 수 있는 가장 중요한 교훈은 웹사이트 보안은 콘텐츠 관리 시스템과 플러그인이 최신 상태로 유지되는지 여부뿐만 아니라 서버의 기본 운영 환경이 적시에 유지되는지 여부에도 달려 있다는 것입니다. 웹사이트에서 콘텐츠를 거의 업데이트하지 않더라도 인터넷을 통해 서비스가 계속 제공되는 한 기본 소프트웨어의 심각한 취약점이 공격의 진입점이 될 수 있습니다.

PHP는 공식적으로 2026년 10월 21일 14:00(UTC, 베이징 시간 22:00)에 복구 버전을 출시할 계획입니다. 개발팀에서는 해당 시점에 취약점 세부정보, 영향을 받는 버전, 복구된 버전 정보를 추가로 발표할 예정이라고 밝혔습니다. 홈페이지 관리자는 공식 업데이트가 나온 후 최대한 빨리 서비스 제공자나 자사 서버의 복구 완료 여부를 확인하고, 필요한 경우 시스템 로그와 이상 활동을 확인해야 한다.

PHP 패치 출시를 앞두고 전 세계 수많은 웹사이트가 긴급 점검 단계에 돌입하게 됩니다. 이번 사건의 위험은 취약점 자체뿐만 아니라 인터넷에 존재하는 수많은 구버전 서버, 그리고 웹사이트 소유자가 제때에 업데이트를 완료하지 못할 수도 있다는 현실에서 비롯됩니다. 즉시 복구할 수 없고 인터넷에 직접 노출되는 중요한 시스템의 경우 위험을 계속 감수하는 것보다 일시적으로 액세스를 제한하거나 오프라인으로 전환하는 것이 더 안전할 수 있습니다.

자세히 알아보기:

https://www.php.net/index.php