지금 쓰고 있는 홈페이지, 혹시 몇 년 전에 만들어두고 그냥 방치한 건 아닐까요.
같은 뉴스, 네 가지 시선. AILENS입니다. 2026년 10월 22일, 오늘 기준으로 벌어진 일을 전해드립니다.
낮 열두 시, 정부가 사이버 위기 경보를 올렸습니다. 관심 단계에서 주의 단계로요.
어제, 그러니까 21일, PHP 개발팀이 보안 업데이트를 하나 배포했습니다. 그리고 한국인터넷진흥원도 같은 날 권고문을 올렸죠. 이 조용한 움직임 하나가, 오늘 정부 경보 상향으로까지 이어진 겁니다.
PHP라는 이름, 낯설게 들릴 수도 있는데요. 홈페이지나 온라인 쇼핑몰, 게시판 만들 때 쓰는 프로그래밍 언어입니다. 워드프레스나 그누보드처럼 많이 쓰는 제작 도구들도 다 이 PHP를 기반으로 돌아가거든요. 그러니까 직접 PHP를 써본 적 없어도, 지금 보고 있는 수많은 웹사이트들이 사실은 PHP로 만들어져 있다는 얘기입니다.
이번에 발견된 건 취약점 두 개입니다. 그런데 이게 좀 심각합니다. 아이디나 비밀번호 없이, 로그인 과정 자체를 거치지 않고, 외부에서 서버에 명령을 내릴 수 있다는 거예요. 공격자가 특수하게 조작한 요청만 보내면, 서버가 그 명령을 그대로 실행해버립니다.
배경훈 부총리는 자신의 엑스에 이 취약점을 직접 설명하면서, 피해 예방을 위해 경보를 올린다고 밝혔습니다.
왜 이렇게까지 반응이 빠르고 클까. 여기서 중요한 지점이 하나 있습니다. 이번 취약점은 특정 홈페이지 프로그램이 잘못 만들어져서 생긴 문제가 아닙니다. PHP라는 언어 자체의 문제예요. 그러니까 홈페이지를 아무리 꼼꼼하게, 안전하게 만들었어도, PHP라는 토대 자체에 구멍이 있으면 그 영향을 그대로 받게 됩니다. 기초 공사가 멀쩡한데 벽돌 자체에 균열이 있는 셈이죠.
그래서 이게 한 나라, 한 회사의 일이 아닙니다. 유럽연합 사이버 보안 기관, 영국, 네덜란드, 독일 등 주요국 보안 기관들도 이 취약점을 치명적 등급으로 평가했습니다. 그리고 다들 같은 말을 하고 있어요. 지금 당장 업데이트하라고.
업데이트가 바로 어려운 시스템이라면, 인터넷 연결을 끊거나 일시적으로 서비스를 중단하라는 권고까지 나왔습니다. 전 세계가 거의 동시에 같은 경고를 보내고 있는 상황인 거죠.
다만 여기서 짚어볼 부분이 있습니다. 업데이트만 하면 끝이라고 생각하기 쉬운데, 그렇지가 않습니다. 업데이트를 적용한 뒤에는 반드시 웹 서비스를 재시작해야 보안 조치가 실제로 적용됩니다. 업데이트 파일만 받아놓고 서비스를 껐다 켜지 않으면, 취약점은 그대로 열려 있는 셈입니다.
그리고 또 하나, PHP 8.1 이하 구버전을 쓰고 있다면 아예 공식 업데이트 자체가 제공되지 않습니다. 이 경우엔 업데이트가 아니라 더 상위 버전으로 전환하는 수밖에 없다는 거예요.
과기정통부가 특히 강조한 대목이 있습니다. 오래전에 만들어두고 지금은 관리하지 않는 홈페이지, 외주로 맡겨서 제작한 쇼핑몰, 장비 관리용 화면 같은 곳에도 PHP가 숨어 있을 수 있다는 겁니다. 평소 신경 쓰지 않던 페이지들까지 다 확인해봐야 한다는 얘기죠.
그럼 여기서 끝인가, 질문이 하나 남습니다. 업데이트를 이미 마쳤다면 안심해도 될까.
과기정통부 답은 조심스럽습니다. 취약점 정보가 이미 공개돼서 유출된 만큼, 업데이트를 마친 서버라도 이상 접속 기록이나 원격 조종 파일, 흔히 웹셸이라고 부르는 것이 설치돼 있는지 점검해보라고 했습니다. 업데이트 이전에 이미 침투당했을 가능성을 배제할 수 없다는 뜻입니다. 피해가 의심되면 즉시 한국인터넷진흥원에 신고하라는 말도 함께 나왔습니다.
호스팅 업체를 통해 홈페이지를 운영하는 소상공인이라면, 직접 PHP 버전을 확인할 필요는 없습니다. 이용 중인 호스팅 업체에 업데이트를 적용했는지 물어보면 됩니다.
한 가지 더 주의할 점이 있는데요. 인터넷에 공격 시험 코드, 흔히 피오씨라고 부르는 파일들이 돌고 있습니다. 이 중에 악성 코드를 숨긴 가짜가 많다고 합니다. 출처가 불분명한 코드는 받지도, 실행하지도 않는 게 안전합니다.
과기정통부는 정보보호 최고 책임자를 신고한 기업 약 2만 8천 개사를 포함해서, 주요 정보통신 기반 시설과 인증 기업, 웹 호스팅사, 데이터센터 등에 이 내용을 긴급하게 전파했다고 밝혔습니다. 그만큼 영향을 받을 수 있는 대상이 넓다는 뜻이기도 합니다.
배경훈 부총리는 이번 사안을 두고 기존의 대응 방식 자체에 의문을 던졌습니다. 수동으로 점검하고 며칠 안에 패치를 적용하는 통상적인 방식으로는, 이런 속도의 공격을 막아낼 수 없다는 겁니다. 인터넷에 연결된 자산을 즉각 차단하고, 웹 방화벽 룰셋을 미리 적용해두는 자동화된 대응이 필요하다는 게 그의 입장입니다.
정부는 각 부처와 협력해서 중소기업을 대상으로 한 보안 점검과 조치 요청도 논의할 계획이라고 밝혔습니다.
다만 이게 실제로 모든 중소 사업장, 모든 방치된 홈페이지까지 닿을 수 있을지는 아직 지켜봐야 할 부분입니다. 경보를 올리고 권고문을 내는 것과, 수만 개에 달하는 개별 홈페이지 하나하나가 실제로 업데이트를 마치는 것 사이에는 거리가 있으니까요.
정리하면, 오늘 핵심은 이겁니다. PHP라는 언어 자체에 구멍이 생겼고, 로그인 없이도 서버를 장악할 수 있는 수준의 위험이라는 겁니다. 홈페이지를 운영하고 있다면, 그게 최근에 만든 것이든 오래전에 방치해둔 것이든, PHP 버전을 확인하고 업데이트한 뒤 서비스를 재시작하는 것까지 끝까지 챙겨야 합니다. 이상이 의심되면 한국인터넷진흥원에 신고하면 됩니다.
같은 뉴스, 네 가지 시선. AILENS였습니다.
