[서울=뉴시스]심지혜 기자 = 홈페이지와 온라인 서비스 운영에 널리 쓰이는 프로그래밍 언어 'PHP'에서 치명적인 보안 구멍이 드러나 정부가 긴급 대응에 나섰다.

이번에 발견된 'PHP투쉘(PHP2Shell)' 취약점은 해커가 서버에서 악성 명령을 마음대로 실행할 수 있는 결함이다. 특히 아이디와 비밀번호를 입력해 로그인하지 않아도 공격이 가능하다. 단순 로그인 보안 조치만으로는 해커를 막아낼 수 없다는 뜻이다. 공격에 노출되면 서버 내부 정보가 그대로 밖으로 새 나가거나 악성 프로그램이 설치된다.

26일 과학기술정보통신부한 한국인터넷진흥원(KISA)이 발표한 'PHP투쉘(PHP2Shell)' 보안 취약점 종합 대응 가이드에 따르면, PHP를 사용하는 홈페이지나 시스템 관리자가 가장 먼저 대응해야 한다. 자체 서버를 둔 기업은 내부 IT 담당자가, 외부 업체에 관리를 맡겼다면 해당 제작·호스팅 업체가 보안 조치를 취해야 한다.

일반 쇼핑몰뿐만 아니라 기업 내부에서 쓰는 인트라넷, 전사적자원관리(ERP), 그룹웨어, 가상사설망(VPN) 관리 화면도 점검 대상이다. 오래전에 만들어 두고 방치한 홈페이지도 예외가 아니다. 과기정통부가 공지한 가이드라인 주요 내용을 Q&A로 정리했다.

-PHP 사용 여부와 취약한 버전은 어떻게 확인하나.

"홈페이지나 시스템 관리업체에 PHP 사용 여부와 현재 버전, 보안 조치 여부를 문의하는 것이 가장 빠르다. 직접 서버를 관리한다면 운영 환경에 설치된 PHP 버전을 확인하면 된다.

무료 점검 서비스도 활용할 수 있다. 국내 보안기업 스틸리언, 엔키화이트햇, 티오리, 파이오링크 등이 관련 서비스를 제공한다. 다만 점검 결과가 서로 다를 수 있으므로 실제 사용 버전은 서버 관리자나 관리업체를 통해 최종 확인해야 한다."

-어떤 PHP 버전으로 업데이트해야 하나. 추가 취약점도 발견됐다는데.

"지난 21일 공개된 취약점 2건(CVE-2026-109618·109619)에 대한 보안 업데이트 적용 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상이다. 다만 PHP 8.2는 올해 12월31일 보안지원이 종료될 예정이어서 KISA는 PHP 8.3 이상 사용을 권장한다.

지난 24일 추가 공지된 CVE-2026-115560은 기존 업데이트로 해결되지 않는 별도 취약점이다. 특정 설정을 사용하는 환경에 영향을 미치며, KISA는 보안 업데이트가 배포되기 전까지 추가 보안 설정을 적용하도록 권고하고 있다. 다만 기존 취약점 대응 과정에서 같은 설정을 이미 적용했다면 추가 조치는 필요하지 않다."

-홈페이지 관리업체에는 무엇을 요청해야 하나. 기존 제작업체가 없어졌다면?

"홈페이지 제작·호스팅업체에 KISA 보호나라 공지를 참고해 PHP 취약점을 조치하고, 10월20일 이후 침해 흔적을 점검한 결과를 알려 달라고 요청하면 된다. 보안 조치를 완료했다는 안내를 받더라도 실제 적용된 PHP 버전과 서비스 재시작 여부, 추가 보안 설정까지 확인해야 한다.

기존 제작업체가 없어졌다면 새로운 업체에 보안 조치를 의뢰하고 이후 정기적으로 관리할 수 있도록 유지보수 계약을 체결하는 것이 권장된다."

-보안 업데이트를 마쳤다면 안심해도 되나.

"업데이트를 적용한 뒤에는 서비스를 재시작해야 수정된 내용이 실제 운영 환경에 반영된다. 이후에도 침해 흔적을 점검해야 한다.

특히 공격자가 업데이트 이전에 서버에 침투했다면 악성 파일이나 비정상적인 계정이 남아 있을 수 있다. 이런 흔적은 PHP를 최신 버전으로 바꾼다고 자동으로 사라지지 않는다. KISA는 인터넷에 연결된 데이터베이스(DB) 비밀번호, 외부 서비스 연동 인증키, 관리자 계정 비밀번호 등의 교체도 권장하고 있다."

-오래된 PHP를 사용하거나 당장 업데이트하기 어렵다면 어떻게 하나.

"PHP 8.1 이하 버전은 보안지원이 종료돼 이번 취약점에 대한 업데이트를 받을 수 없다. 따라서 제작·호스팅업체에 PHP 8.3 이상으로 전환하도록 요청해야 한다.

다만 오래된 시스템은 버전을 올리는 과정에서 장애가 발생할 수 있어 사전에 데이터를 백업하고 정상 작동 여부를 테스트해야 한다.

즉시 업데이트가 어렵다면 추가 보안 설정을 적용하고 침해 흔적을 점검한 뒤 비밀번호를 교체해야 한다. 이러한 조치마저 어렵다면 서비스 일시 중단을 검토해야 한다. 웹방화벽(WAF)은 일부 공격을 막을 수 있지만 취약점 자체를 해결하지는 못한다."

-해킹이 의심되면 어떻게 대응해야 하나.

"홈페이지 화면이 임의로 변경되거나 관리자가 설치하지 않은 파일·계정이 발견된다면 침해 여부를 확인해야 한다.

이때 서버 전원을 무조건 끄는 것은 피해야 한다. 전원을 종료하면 사고 원인과 피해 범위를 파악하는 데 필요한 일부 흔적이 사라질 수 있기 때문이다. KISA는 서버 전원을 유지하면서 외부 접속을 차단하고, 국번 없이 118이나 보호나라를 통해 신고할 것을 권고한다.

개인정보 유출이 확인된 경우에는 침해사고 신고와 별도로 개인정보보호위원회에 유출 신고도 해야 한다. 보안 담당자가 없는 중소기업이나 소상공인은 전국 16곳의 지역정보보호지원센터를 통해 상담받을 수 있다."

-이번 취약점이 일반 이용자의 개인정보 유출로도 이어질 수 있나.

"그럴 가능성이 있다. KISA에 따르면 공격자가 취약한 서버에 침투할 경우 고객정보 유출이나 내부망 침투 등 추가 피해가 발생할 수 있다. 특히 이번 취약점은 서버 메모리에 담긴 비밀번호나 인증 토큰, 외부 서비스 연동 키 등 민감한 정보까지 유출시킬 수 있는 것으로 확인됐다.

다만 취약점이 존재한다는 사실만으로 개인정보가 실제 유출됐다고 볼 수는 없다. 실제 피해 여부는 서버 침해 여부와 공격자가 접근한 정보 등을 확인해야 한다."

-그렇다면 일반 이용자는 무엇을 해야 하나.

"PHP 취약점이 발견됐다는 이유만으로 모든 서비스의 비밀번호를 바꿀 필요는 없다. 다만 이용 중인 서비스의 침해사고나 개인정보 유출 공지를 확인하고, 계정의 로그인·결제 내역에 이상이 없는지 살펴보는 것이 좋다.

여러 서비스에서 같은 비밀번호를 사용한다면 각각 다르게 변경하고, 2단계 인증을 설정하는 것이 안전하다. 개인정보 유출이 확인됐다면 해당 계정의 비밀번호를 바꾸고, 보안 점검을 사칭한 문자·이메일의 링크도 주의해야 한다."

◎공감언론 뉴시스 [email protected]

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지