[서울=뉴시스]윤정민 기자 = 웹 개발 언어 'PHP'의 치명적 보안 취약점으로 긴급 업데이트가 배포됐지만 국내 인터넷에 공개된 관련 서비스의 패치 적용률은 4%에도 못 미친다는 조사 결과가 나왔다. 미국과 일본이 20%를 웃도는 것과 비교해 보안 업데이트가 더딘 상황이다.

27일 사이버보안 기업 '센시스'의 국가별 집계에 따르면 국내에서 취약한 PHP 버전 사용 이력이 확인된 서비스 50만8709개 가운데 보안패치 적용이 확인된 서비스는 1만9737개다. 패치율은 3.9%로 233개 국가·지역 중 181위에 머물렀다.

패치 대상 서비스가 10만개 이상인 36개 국가·지역으로 범위를 좁히면 한국은 홍콩(2.3%) 다음으로 낮았다. 독일과 영국은 각각 31.6%, 30.2%였으며 미국은 23.6%, 일본은 22.1%를 기록했다.

다만 이 수치는 국내 PHP 서비스 전체를 전수 점검한 결과는 아니다. 센시스가 인터넷에서 수집한 서비스의 PHP 버전 정보를 바탕으로 패치 여부를 분류한 통계다.

PHP는 로그인과 게시판 등 웹사이트의 다양한 기능을 구현하는 데 쓰이는 프로그래밍 언어다. 최근 공개된 'PHP2Shell'은 PHP 자체의 메모리 처리 결함과 관련된 취약점으로, 공격자가 인증 없이 원격에서 서버에 코드를 실행할 수 있다.

PHP 개발팀은 지난 21일(현지 시간) 취약점 2건을 수정한 버전을 배포하고 즉각적인 업데이트를 권고했다. 웹사이트 프로그램이나 플러그인만 업데이트하는 데 그치지 않고 서버에서 실행되는 PHP의 패치 적용 여부를 확인해야 한다.

정부도 긴급 대응에 나섰다. 과학기술정보통신부는 지난 22일 민간 분야 사이버 위기경보를 '관심'에서 '주의'로 높이고 PHP 보안 업데이트와 기술적 조치를 당부했다.

한국인터넷진흥원(KISA)은 PHP 사용 여부를 확인한 뒤 최신 보안 업데이트를 적용하고 이상 징후를 점검하도록 안내하고 있다. 업데이트 후에는 관련 프로세스를 재시작해 수정된 프로그램이 실제로 실행되는지 확인하고, 패치 이전에 침해가 발생했는지도 살펴야 한다.

추가로 공개된 취약점에 대한 설정 점검도 필요하다. PHP 개발팀은 지난 23일 특정 세션 설정과 애플리케이션 동작이 결합할 때 원격 코드 실행으로 이어질 수 있는 별도 취약점 'CVE-2026-115560'을 알렸다.

개발팀은 다음 정기 수정 버전이 나올 때까지 파일 업로드 진행 상황 추적 기능을 비활성화하도록 권고했다. 다만 모든 PHP 서비스에 동일하게 적용되는 문제는 아니며, 앞서 해당 기능을 꺼둔 경우에는 설정을 유지하면 된다고 설명했다.

자체 대응이 어려운 중소기업과 소상공인은 KISA의 전국 16개 지역정보보호센터를 통해 보안 상담과 지원을 받을 수 있다.


◎공감언론 뉴시스 alpaca@newsis.com