프로그래밍 언어 PHP서 최고 위험도 취약점 발견…발칵 뒤집힌 인터넷 생태계
미국·유럽 등 전 세계 사이버 당국 비상…韓 국가안보실 민·관·군 긴급 회의 개최
전 세계 웹사이트 70% 사각지대…"중소기업·구형 서버 선제 차단 시급"
![[서울=뉴시스] 사진은 인터넷 보안 시스템 컨셉. 기사의 이해를 돕기 위한 이미지. (사진=유토이미지) 2026.10.10. photo@newsis.com *재판매 및 DB 금지](https://img1.newsis.com/2026/10/10/NISI20261010_0002259618_web.jpg?rnd=20261010011842)
[서울=뉴시스] 사진은 인터넷 보안 시스템 컨셉. 기사의 이해를 돕기 위한 이미지. (사진=유토이미지) 2026.10.10. [email protected] *재판매 및 DB 금지
[서울=뉴시스]박은비 윤정민 기자 = 전 세계 웹사이트 10곳 중 7곳에서 쓰이는 프로그래밍 언어 'PHP'에서 치명적인 보안 취약점이 발견돼 세계 각국 보안 당국에 비상이 걸렸다.
아이디와 비밀번호가 없어도 서버를 제어하거나 핵심 정보를 빼낼 수 있는 심각한 결함이다. 방치할 경우 대규모 정보 유출과 시스템 마비 등 막대한 피해가 우려된다.
미국, 유럽, 일본 등 세계 각국 사이버 보안 당국이 일제히 비상 대응 체계에 돌입했다. 우리 정부도 21일 청와대 국가안보실 주재로 민·관·군 사이버 안보 긴급 대책 회의를 열고 대응 상황을 점검했다.
10년간 아무도 몰랐다…PHP 버그, 얼마나 치명적이길래
![[서울=뉴시스] PHP 로고. (사진=PHP) *재판매 및 DB 금지](https://img1.newsis.com/2026/10/22/NISI20261022_0002270508_web.jpg?rnd=20261022091935)
[서울=뉴시스] PHP 로고. (사진=PHP) *재판매 및 DB 금지
PHP는 전 세계 웹사이트를 만들 때 널리 쓰이는 프로그래밍 언어다. 웹 서버에서 로그인을 처리하거나 저장된 게시글을 불러오는 등 핵심 기능을 구현한다.
유명 블로그·웹사이트 제작 도구인 '워드프레스'와 위키백과의 운영 소프트웨어인 '미디어위키'도 모두 PHP 기반이다. 웹 개발 시장에서 워낙 오랫동안 기본 언어로 쓰이다 보니 개발자들 사이에선 '쌀밥'이라고 불린다.
구글 보안 자회사인 위즈에 따르면 전 세계 웹사이트 10곳 중 7곳이 PHP를 사용한다. 페이스북도 초기에는 PHP로 개발됐다.
보안업계에서는 이번에 발견된 취약점 2건을 통틀어 'PHP2Shell(PHP투셸)'로 부른다. PHP가 메모리를 처리하는 과정에서 발생하는 오류다. 해커는 이 결함을 악용해 별도 인증 절차 없이 서버에 악성코드를 설치하거나 원격 제어 명령을 내릴 수 있다.
두 취약점은 국제 보안 취약점 평가체계(CVSS 4.0) 기준 10점 만점에 9.2점을 받았다. 가장 위험도가 높은 '치명적(Critical)' 등급이다.
![[서울=뉴시스] [서울=뉴시스] 22일(한국 시간) 오전 8시 기준 접속이 일시 중단된 네덜란드축구협회(KNVB) 홈페이지. 웹 개발 언어 PHP에서 치명적인 보안 취약점이 발견되면서 해외 주요 기관들이 예방 차원에서 웹사이트 운영을 중단했다. (사진=네덜란드축구협회 홈페이지 캡처) *재판매 및 DB 금지](https://img1.newsis.com/2026/10/22/NISI20261022_0002270511_web.jpg?rnd=20261022092117)
[서울=뉴시스] [서울=뉴시스] 22일(한국 시간) 오전 8시 기준 접속이 일시 중단된 네덜란드축구협회(KNVB) 홈페이지. 웹 개발 언어 PHP에서 치명적인 보안 취약점이 발견되면서 해외 주요 기관들이 예방 차원에서 웹사이트 운영을 중단했다. (사진=네덜란드축구협회 홈페이지 캡처) *재판매 및 DB 금지
현재까지 확인된 공개 자료에서는 대규모 피해 사례가 확인되지 않았다. 하지만 취약점 정보가 이미 공개된 만큼 이를 노린 사이버 공격이 수면 밑에서 활발히 진행되고 있다는 게 전문가들의 전언이다.
유럽에서는 이미 선제적 조치가 잇따랐다. 네덜란드 정부 포털과 하원, 주요 병원 웹사이트가 작동을 일시 중단했다. 핀란드 정부의 대외 웹서비스도 예방 차원에서 문을 닫았다.
일본도 마찬가지다. 일본항공(JAL)은 긴급 유지 보수 점검을 위해 예약 웹사이트를 일시 중단했으며, 철도기업인 JR규슈와 한신전기철도도 열차 예약 애플리케이션 운영을 멈추고 점검했다.
정부, 주요 기업 2만8000곳 긴급 경보…"중소기업·구형 서버 점검해야"
![[서울=뉴시스] 개인정보보호위원회는 공공기관과 민간 기업 등 개인정보처리자에게 PHP 취약점에 대응하기 위한 보호조치를 신속히 이행해달라고 22일 밝혔다. 전날 공개된 'PHP2Shell'은 공격자가 로그인이나 인증을 거치지 않고 웹 서버에서 임의의 악성 명령을 실행할 수 있는 취약점이다. 청와대는 "공공기관과 군은 PHP 사용률이 낮아 상대적으로 안전한 상황"이라고 설명했다. (그래픽=안지혜 기자) hokma@newsis.com](https://img1.newsis.com/2026/10/22/NISI20261022_0002271364_web.jpg?rnd=20261022184033)
[서울=뉴시스] 개인정보보호위원회는 공공기관과 민간 기업 등 개인정보처리자에게 PHP 취약점에 대응하기 위한 보호조치를 신속히 이행해달라고 22일 밝혔다. 전날 공개된 'PHP2Shell'은 공격자가 로그인이나 인증을 거치지 않고 웹 서버에서 임의의 악성 명령을 실행할 수 있는 취약점이다. 청와대는 "공공기관과 군은 PHP 사용률이 낮아 상대적으로 안전한 상황"이라고 설명했다. (그래픽=안지혜 기자) [email protected]
국내외 사이버 보안 당국에도 비상등이 켜졌다.
미국 국가안보국(NSA)과 유럽연합(EU) 기관·기구 사이버보안 대응조직인 CERT-EU는 신속한 보안 업데이트를 촉구했다. 곧바로 조치하기 어렵다면 취약한 시스템의 외부 접속을 차단하는 방안을 검토하라고 권고했다.
일본 다카이치 사나에 총리는 21일 자신의 소셜네트워크(SNS)를 통해 "가능한 한 신속하게 대응해 달라"며 위기 대응을 촉구했다.
우리 정부도 민간 분야 사이버위기 경보를 '주의' 단계로 격상하고 비상대응 체계를 가동했다.
과기정통부는 정보보호최고책임자(CISO) 신고기업 2만8000곳, 주요정보통신기반시설 111곳, 정보보호관리체계(ISMS) 인증기업 1068곳, 사이버위협정보공유(C-TAS) 회원사 5900곳, 웹 호스팅사와 인터넷 데이터센터 등 주요 기업 688곳에 관련 위험을 긴급 전파했다. 국내외 보안업계와 협력해 공격 동향 모니터링도 강화했다.
배경훈 부총리 겸 과기정통부 장관은 "이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고, 공격 코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다"며 "인터넷 접점 자산에 대한 즉각적인 차단과 웹방화벽(WAF) 규칙의 선제 적용 같은 자동화된 대응 체계가 필수적"이라고 강조했다.
송경희 개인정보보호위원장도 "웹사이트뿐 아니라 연결된 DB에 저장된 다수 이용자의 개인정보까지 유출될 우려가 있다"며 "개인정보의 대량 조회·반출이나 비정상적인 접근이 있었는지 꼼꼼히 살펴보고 외부 업체에 개발·운영을 맡긴 시스템까지 빠짐없이 점검해 주시기 바란다"고 당부했다.
◎공감언론 뉴시스 [email protected], [email protected]
