전 세계 웹사이트 70%가 쓰는 PHP에서 인증 없이 서버 침투가 가능하다고요? 🕳️

새벽에 걸려온 전화를 받아본 적, 있으신가요. 쇼핑몰 홈페이지가 이상하다는 전화요.

같은 뉴스, 네 가지 시선. AILENS입니다. 오늘은 2026년 10월 22일, 전 세계 IT 업계에 비상이 걸린 소식을 다룹니다.

한 영세 쇼핑몰 운영자가 있습니다. 몇 년 전 외주를 맡겨 만든 사이트고, 그 뒤로는 손댄 적이 없습니다. 주문 들어오고 배송 나가면 그걸로 충분했으니까요.

그런데 그 사이트 뒤편에서, 코드 한 줄이 조용히 낡아가고 있었습니다.

이번 일의 출발점은 PHP라는 프로그래밍 언어입니다. 웹사이트 뒷단을 돌리는 언어인데, 듣고 계신 분들이 자주 들어가는 쇼핑몰, 게시판, 예약 사이트 상당수가 이 언어로 만들어져 있습니다. 보안업계에 따르면 서버 언어를 확인할 수 있는 전 세계 웹사이트 가운데 열에 일곱이 PHP를 쓰고 있습니다.

그 PHP에서 치명적인 결함 두 가지가 발견됐습니다. 외부에서 로그인도 없이, 서버에 악성코드를 심을 수 있는 통로입니다. 문을 잠그지 않은 게 아니라, 문 자체에 구멍이 난 셈입니다.

미국 국가안보국, NSA가 이례적으로 공식 권고문을 냈습니다. PHP를 쓰는 모든 기관과 기업에 즉시 업데이트를 하라는 내용입니다. NSA는 당장 업데이트가 어렵다면, 아예 시스템을 오프라인으로 돌리라고까지 경고했습니다. 미국 연방수사국, FBI도 같은 취약점을 두고 민감한 정보와 네트워크가 뚫릴 수 있다고 짚었습니다.

이게 한 나라, 한 회사의 문제가 아니라는 뜻입니다.

취약점의 위험도는 국제 평가체계인 씨브이에스에스 기준으로 매겨지는데, 10점 만점에 9.2점이 나왔습니다. 가장 높은 등급, '치명적'입니다. PHP 개발진은 바로 다음 날 패치를 긴급 배포했습니다. 국내에서도 한국인터넷진흥원과 안랩이 같은 날 업데이트 공지를 냈습니다. 대응 속도 자체는 빨랐습니다.

다만 여기서 조금 다른 이야기가 나옵니다. 패치가 나왔다고, 그게 곧바로 적용되는 건 아니라는 점입니다.

문제는 그 패치를 누가, 언제 설치하느냐입니다. 보안 인력을 따로 두기 어려운 중소기업이나 영세 쇼핑몰은, 사이트를 자체 관리하거나 오래된 버전을 그대로 쓰는 경우가 많습니다. 업데이트가 필요하다는 사실 자체를 모르고 지나갈 수 있다는 뜻이죠.

사이버보안 기업 티오리의 박세준 대표는 이 지점을 지적했습니다. 한국은 게시판 제작도구나 오래된 쇼핑몰 가운데 아주 옛날 버전에 멈춰 있는 사이트가 많다는 겁니다. 심지어 예전에 만들어 두고 잊어버린 사이트, 외주로 만든 쇼핑몰, 장비 관리용 페이지에도 PHP가 숨어 있을 수 있다고 말합니다.

그러니까 지금 가장 위험한 건, 겉으로 멀쩍이 보이는 대형 사이트가 아니라, 누구의 관심 밖에서 조용히 돌아가고 있는 작은 사이트들입니다. 주인조차 그 존재를 잊고 있는 사이트요.

여기서 아직 풀리지 않은 부분이 있습니다. 공식 보안 지원이 끝난 더 오래된 버전은 이번 패치 대상에도 포함되지 않습니다. 업그레이드 말고는 방법이 없다는 뜻인데, 그 비용과 시간을 누가, 어떻게 감당할지는 사이트를 운영하는 쪽의 몫으로 남아 있습니다.

정리하면, 오늘 핵심은 이겁니다. PHP의 치명적 취약점은 패치로 막을 수 있지만, 그 패치를 적용할 사람이 없는 사이트는 여전히 열려 있다는 것입니다. 사이트를 운영하고 계시다면, 사용 중인 PHP 버전을 한 번 확인해보는 게 지금으로선 가장 확실한 방법입니다.

같은 뉴스, 네 가지 시선. AILENS였습니다.