전 세계 웹사이트에서 광범위하게 쓰이는 프로그래밍 언어 PHP에서 치명적인 보안 결함이 발견되면서 정부와 한국인터넷진흥원(KISA)이 보안 업데이트를 권고했다.

22일 당국에 따르면 과학기술정보통신부와 KISA는 전날 사이버 위협정보 분석·공유 시스템(C-TAS) 회원사와 정보보호 최고책임자(CISO) 신고 의무 기업을 대상으로 PHP 취약점에 대한 보안 조처를 요청했다. KISA가 운영하는 C-TAS에서는 약 5900개 기업·기관이 사이버 위협정보를 공유한다.

KISA는 치명적 결함 발견된 PHP 보안 업데이트 권고했다. 로이터 연합뉴스

정부는 사이버 위협정보를 안내하는 포털인 ‘KISA 보호나라’에서도 PHP 취약점에 대한 보안 업데이트와 패치 적용을 권고했다. 이해민 청와대 AI미래기획수석은 페이스북에서 “PHP 보안 취약점으로 인한 피해 우려가 확산하고 있다”며 “이 상황을 매우 심각하게 보고 있다. 관련 기관 대응책을 가동 중이라는 것을 우선 알린다”고 전했다.

이번에 확인된 취약점은 공격자가 별도 로그인이나 인증 절차 없이 시스템을 장악할 수 있는 위험성이 있는 것으로 알려졌다.

예외 상황을 제대로 처리하지 못하는 ‘부적절한 예외 상황 처리(Improper Handling of Exceptional Conditions, CVE-2026-109618)’ 취약점과 이미 해제된 메모리를 다시 참조하는 ‘해제 후 사용(Use After Free, CVE-2026-109619)’ 취약점, 2건이다. 영향을 받는 버전은 PHP 8.2와 8.3, 8.4, 8.5, 4개 버전이다.

PHP 개발진은 21일(현지시간) 해당 취약점 2건을 수정한 새 버전을 공개했다. 웹 기술 분석업체 W3Techs에 따르면 사용된 프로그래밍 언어를 식별할 수 있는 웹사이트의 75%가 PHP를 사용하고 있다. 전체 웹사이트의 43%가 쓰는 워드프레스도 PHP를 기반으로 작동한다.

네덜란드와 핀란드 등 일부 유럽 국가 정부기관은 예방 차원에서 웹사이트 운영을 중단했고, 유럽과 일본, 호주 등의 사이버보안 당국도 긴급 업데이트를 권고했다.

이번 취약점은 사이버보안업체 캘리프가 오픈AI의 인공지능(AI) 모델 ‘GPT-5.6 솔(Sol)’을 이용해 찾아낸 것으로 전해졌다.

이정한 기자 [e-mail]