22일 로이터통신과 PHP 개발팀의 발표에 따르면 PHP에서 인증 절차 없이 원격으로 악성 코드를 실행할 수 있는 중대한 보안 취약점 2건이 확인됐다.

이에 따라 개발팀은 지난 21일 보안 패치를 공개하고 웹사이트 운영자들에게 신속한 업데이트를 권고했다.

이번에 발견된 취약점은 단순한 홈페이지 오류와는 차원이 다르다. 공격자가 별도의 로그인 없이 취약한 서버에서 임의의 코드를 실행할 가능성이 있다는 점에서 위험성이 크다.

특히 PHP는 전 세계 웹사이트의 상당수가 사용하는 핵심 기술이라는 점에서 파장이 확산하고 있다.

◇ 홈페이지 뒤에서 움직이는 PHP…왜 전 세계가 긴장하나

PHP는 이용자가 웹사이트에서 수행하는 각종 작업을 서버에서 처리하는 프로그래밍 언어다.

인터넷 쇼핑몰에서 상품을 구매하거나 홈페이지에 로그인하고, 게시판에 글을 작성하는 기능 등이 대표적이다.

이용자가 화면에서 버튼을 누르면 서버가 PHP 프로그램을 실행해 필요한 정보를 처리하고 그 결과를 다시 화면에 보여주는 방식이다.

전 세계적으로 널리 활용되는 콘텐츠 관리 시스템(CMS)인 워드프레스도 PHP를 기반으로 작동한다. 개인 블로그부터 기업 홈페이지, 온라인 쇼핑몰까지 적용 범위가 넓다.

웹 기술 통계업체 W3Techs에 따르면 서버 측 프로그래밍 언어를 확인할 수 있는 웹사이트 가운데 약 70%가 PHP를 사용하는 것으로 파악된다.

다만 이 수치는 전체 인터넷 서비스의 70%가 실제 공격에 노출됐다는 의미는 아니다. 보안 위험은 웹사이트가 사용하는 PHP 버전과 서버 구성, 패치 적용 여부 등에 따라 달라진다.

◇ 로그인 없이 서버 침투 가능성…유럽 곳곳 서비스 중단

이번에 확인된 보안 취약점은 CVE-2026-109618과 CVE-2026-109619 등 2건이다.

두 취약점 모두 국제 보안 취약점 평가체계인 CVSS 4.0 기준 9.2점으로, 최고 위험 등급인 '치명적(Critical)' 수준으로 분류됐다.

취약점이 악용되면 공격자가 정상적인 인증 과정을 거치지 않고 서버에서 명령을 실행할 수 있다. 이는 저장된 데이터에 대한 불법 접근이나 악성코드 설치 등 추가적인 보안 사고로 이어질 가능성이 있다는 뜻이다.

실제 유럽에서는 보안 위협에 대비하기 위한 조치가 잇따랐다.

로이터통신에 따르면 독일과 프랑스, 네덜란드 등 유럽 각국의 정부기관과 교육기관, 의료기관 일부가 웹사이트 운영을 일시 중단했다.

유럽연합(EU) 사이버보안 대응 조직은 신속하게 보안 패치를 적용하기 어려운 기관에 해당 서비스를 잠정 중단하는 방안도 검토하도록 권고했다.

다만 웹사이트가 중단됐다는 사실만으로 해킹 피해가 발생했다고 단정할 수는 없다. 상당수 기관은 공격을 사전에 차단하기 위한 예방 조치로 서비스를 중단한 것으로 전해졌다.

◇ 긴급 패치 공개…웹사이트 운영자 대응이 관건

PHP 개발팀은 지난 21일 취약점을 수정한 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전을 공개했다.

개발팀은 이번 취약점을 근본적으로 해결하려면 수정된 보안 버전으로 업데이트해야 한다고 강조했다.

특히 외부 인터넷 요청을 직접 처리하는 서버 환경에서는 취약점이 악용될 경우 피해가 커질 수 있어 주의가 필요하다.

PHP는 1995년 프로그래머 라스무스 러도프가 개발한 기술에서 출발했다. 누구나 소스 코드를 확인하고 개선에 참여할 수 있는 오픈소스 방식으로 발전하면서 인터넷 서비스의 핵심 기술 가운데 하나로 자리 잡았다.

이번 사태는 널리 사용되는 공통 소프트웨어에서 발생한 보안 문제가 개별 기업을 넘어 다양한 국가와 산업의 인터넷 서비스 운영에 영향을 미칠 수 있다는 점을 보여준다.

기업 홈페이지와 온라인 쇼핑몰, 각종 플랫폼을 운영하는 사업자는 자사 서버의 PHP 사용 여부와 버전을 확인하고 필요한 보안 업데이트를 적용해야 한다.

특히 개인정보와 결제 관련 데이터를 다루는 서비스는 서버 보안 상태를 점검하고 비정상적인 접근이나 시스템 변경 흔적이 있는지도 살펴볼 필요가 있다.