PHP 결함 대응 확대와 중소기업 지원 검토

무슨 일인가

PHP는 서버에서 웹사이트의 요청을 처리하는 프로그램을 만드는 언어로, 워드프레스와 그누보드에도 쓰입니다. ‘PHP2Shell’로 불리는 이번 두 결함은 개별 홈페이지 코드가 아닌 PHP 실행 프로그램 자체의 문제여서, 웹 서비스를 안전하게 만들었더라도 영향을 받을 수 있습니다. 공격자는 아이디와 비밀번호를 몰라도 조작된 요청으로 서버에서 명령을 실행할 수 있지만, PHP를 쓰는 모든 사이트가 같은 위험에 놓였다는 뜻은 아닙니다.

안랩은 10월 22일 인터넷에 공개된 서버 정보를 분석해 국내 서버 약 11만대가 취약한 PHP 버전을 쓰는 것으로 추정했습니다. 시벨앙젤이 쇼단의 10월 20일 정보를 분석한 2만 4,591대는 지원이 끝난 PHP 8.1 이하 서버 수이며, 82%라는 비중은 버전이 확인된 국내 PHP 서버를 기준으로 합니다. 두 집계는 대상이 달라 서버 수의 증가 폭이나 실제 피해 규모를 뜻하지 않습니다.

KISA는 10월 24일 새벽 PHP의 추가 취약점인 CVE-2026-115560에 대한 보안 공지를 냈습니다. 공격자가 서버에서 명령을 실행할 수 있는 결함으로, 앞서 배포된 보안 업데이트만으로는 해결되지 않는다고 설명했습니다. 다만 특정 설정과 프로그램 동작이 함께 나타나야 문제가 생기며, PHP 개발팀은 실제 운영 환경에서 이 경로가 악용될 가능성을 상대적으로 낮게 평가했습니다.

추가 결함에 영향을 받는 서버는 PHP 설정 파일인 php.ini에서 파일 업로드 진행 상황을 추적하는 session.upload_progress.enabled 항목을 Off로 바꾸고 시스템을 재시작해야 합니다. KISA는 같은 임시 조치를 이미 적용했다면 정식 패치 배포 때까지 설정을 유지하고 침해 정황을 살피라고 당부했습니다. 앞선 두 결함에는 10월 21일 현지시간 수정판 8.5.12·8.4.27·8.3.36·8.2.35가 배포됐으며, PHP 8.1 이하는 공식 보안 업데이트가 제공되지 않습니다.

과기정통부는 10월 25일 호스팅·웹페이지 제작 업체와 중소기업 지원 방법을 실무 차원에서 확인하고 있다고 밝혔습니다. 서버를 빌려 홈페이지를 운영하는 업체의 PHP 버전을 자동 확인하고, 버전에 맞는 패치나 업그레이드 방법을 안내할 수 있는지 검토하는 단계입니다. 과기정통부는 이번 취약점으로 인한 국내 피해가 공식 확인되지는 않았으며, 민간의 서버 집계는 조사 기준이 달라 공식 통계로 쓰기 어렵다고 설명했습니다.

쿠마르 리테시 사이퍼마 대표는 10월 24일 밤 해커들이 한국·미국·일본·유럽연합 등을 겨냥한 서버 216개의 표적 목록을 완성했다는 대화를 포착했다고 밝혔습니다. 정부기관과 은행을 먼저 노리고 물류·항공·제조업 등도 공격 후보로 삼았다는 주장입니다. 표적 약 3분의 1을 정찰했다는 대화도 있었다고 했지만, 실제 명단은 확보하지 못했고 새 표적에 침입했는지도 확인하지 못했다고 설명했습니다.

배경과 경위

PHP 재단은 사전 패치를 받은 체인가드가 예정 시각보다 6시간 이상 일찍 수정 이미지를 공개해 공격자에게 분석할 시간을 줬다고 비판했습니다. 10월 20일 온라인에 관련 정보가 알려지면서 공식 공개도 22일에서 21일로 앞당겨졌습니다. 다만 아마존이 밝힌 최초 공격 시도는 그보다 앞선 17일이어서, 조기 공개가 그 시도의 원인이었다고 단정할 수는 없습니다.

PHP 개발팀은 2024년 외부 감사에서 이번 결함의 원인인 메모리 부족 문제의 초기 징후를 확인했다고 밝혔습니다. 당시 구체적인 공격 경로를 찾지 못했고, 의사 결정 과정의 어려움으로 수정 작업의 중단과 재개가 반복됐다고 설명했습니다. 개발팀은 보안팀의 의사 결정과 자원 부족이라는 구조적 문제가 수정 지연에 영향을 줬다고 인정했습니다.

해외에서는 접속 차단 뒤 일부 서비스를 복구하고 있습니다. 프랑스 통신그룹 오랑주는 차단했던 계열사 웹사이트와 앱을 순차적으로 복구하고 있으며, 핀란드 발토리도 패치를 마친 웹서비스부터 차단을 풀고 있습니다. 일본 소프트뱅크는 10월 25일 오전 지진·쓰나미 긴급 경보를 재개했지만, 지방자치단체가 보내는 재난·대피 정보는 여전히 제공하지 않고 있습니다.

누가 무엇을 주장하나

CJ 모지스(아마존 최고정보보호책임자)·댄 귀도(트레일오브비츠 최고경영자)·돈 스미스(소포스 위협연구 담당 부사장)

모지스는 AI로 공격 코드 제작 비용이 낮아지고 있다며 패치 주기를 기존 7~30일에서 시간 단위로 줄여야 한다고 주장했습니다. 반면 귀도는 경력 10년의 전문가도 첨단 AI로 실제 공격 방법을 구현하는 데 하루가 걸렸다고 설명했습니다. 스미스는 악용이 예상보다 어렵다고 평가하면서도 공격이 오랜 기간 서서히 진행될 가능성을 경고했습니다.

미국 국가안보국·연방수사국·한국 금융위원회·금융감독원·금융보안원

미국 국가안보국과 연방수사국은 파일·데이터베이스 접근과 원격 코드 실행으로 민감한 정보와 네트워크가 침해될 위험을 경고했습니다. 미국 국가안보국과 연방수사국은 즉시 업데이트할 수 없다면 결함이 해결될 때까지 시스템을 오프라인으로 전환하라고 권고했습니다. 한국 금융당국도 금융회사에 즉각적인 패치를 요청하고, 어려운 경우 해당 웹페이지 운영 중단이나 외부 접속 차단을 권고했습니다.

쿠마르 리테시(사이퍼마 창업자·대표)

리테시 대표는 추적한 계정의 과거 활동과 북한식 어휘, 표적 선정 방식이 라자루스와 비슷하다는 점을 북한 연계 판단의 단서로 제시했습니다. 다만 연계를 확정한 단계는 아니라고 밝혔으며, 사이퍼마의 기존 분석 신뢰도도 '중간'이었습니다. 해커들이 공개된 공격 코드의 우선순위를 정하는 데 자체 컴퓨터에서 실행하는 AI를 썼다는 대화도 포착했다고 주장했습니다.

확인된 사실과 엇갈리는 주장

용어 풀이

보안 패치

프로그램의 보안 결함을 고치기 위해 배포하는 수정 프로그램입니다.

앞으로 확인할 것

• 배경훈 부총리는 범부처 사이버 보안 종합대책과 관련 조직 개편 방안을 검토해 조만간 보고하겠다고 밝혔으며, 구체적인 보고 날짜는 제시하지 않았습니다.

갱신 기록

1. 2026년 10월 25일정부의 중소기업 보안 지원 검토와 서버 216개를 겨냥했다는 정찰 주장, PHP 수정 지연 경위를 반영했습니다. (기사 103건, 매체 17곳 기준)
2. 2026년 10월 24일기존 패치로 해결되지 않는 추가 PHP 결함의 임시 대응과 사이퍼마가 제기한 공격 준비 정황·북한 연계 분석의 한계를 반영했습니다. (기사 98건, 매체 16곳 기준)
3. 2026년 10월 23일국내 금융그룹의 패치·점검 현황과 일본 학교의 예방적 서비스 중단, AI를 활용한 방어 대응을 반영했습니다. (기사 93건, 매체 16곳 기준)
4. 2026년 10월 23일한국 정부의 범부처 보안 대책·조직 개편 검토와 KISA의 취약 버전 현황·패치 완료율 미파악 설명을 반영했습니다. (기사 86건, 매체 16곳 기준)
5. 2026년 10월 23일결함 공개 전 공격 관측과 공개 뒤 시도 급증, 주요 보안업체들의 침해 미확인 판단 및 국내 은행의 패치 대응을 반영했습니다. (기사 83건, 매체 15곳 기준)
6. 2026년 10월 23일정부의 기업·기관 대상 긴급 전파와 AI를 활용한 공격 증가 가능성, 서버 전수조사 필요성에 관한 전문가 설명을 반영했습니다. (기사 77건, 매체 15곳 기준)
7. 2026년 10월 22일켄시스의 전 세계 구버전 서버 비중 조사와 PHP 측의 과거 결함 징후 인지·대응 지연 인정을 반영했습니다. (기사 65건, 매체 15곳 기준)
8. 2026년 10월 22일안랩의 국내 취약 버전 서버 약 11만대 추정과 민·관·군 긴급회의, 중국의 보호 조치 권고 및 국내 호스팅업체 대응을 반영했습니다. (기사 59건, 매체 14곳 기준)
9. 2026년 10월 22일한국의 사이버위기 경보 ‘주의’ 상향과 비상대응, 국내 지원 종료 PHP 서버 규모 및 무료 점검 서비스 공개를 반영했습니다. (기사 45건, 매체 13곳 기준)
10. 2026년 10월 22일한국 정부의 업데이트 권고와 중소기업 패치 지원 검토, 아마존의 취약점 공개 전 공격 시도 탐지 발표를 반영했습니다. (기사 37건, 매체 13곳 기준)
11. 2026년 10월 22일일본 공공기관·은행·쇼핑몰의 대응과 PHP 재단이 밝힌 패치 사전 공개 경위를 반영했습니다. (기사 19건, 매체 10곳 기준)
12. 2026년 10월 22일리포트를 처음 작성했습니다. (기사 12건, 매체 5곳 기준)