"로그인 없이 서버 뚫린다"…정부, PHP 해킹 위협에 비상대응 [종합]

안세준 기자 곽민구 기자 입력 2026.10.22 13:44 정부, 사이버위기 경보 관심→주의 격상⋯기업·기관 긴급 업데이트 당부 [아이뉴스24 안세준·곽민구 기자] 인공지능(AI)을 활용한 보안 연구 과정에서 전 세계 웹사이트에 널리 사용되는 프로그래밍 언어 PHP의 치명적인 보안 취약점 2건이 발견되면서 정부가 비상대응에 나섰다. 이 취약점을 악용하면 별도의 로그인 없이 외부에서 서버를 장악할 수 있어 자칫 고객정보 유출 등 대규모 피해가 우려된다.생성형 AI로 제작한 이미지. [사진=챗GPT]과학기술정보통신부와 한국인터넷진흥원(KISA)은 PHP에서 심각한 보안 취약점 2건이 공개됨에 따라 22일 낮 12시부로 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 격상했다. 민간분야 사이버위기 경보단계는 관심→주의→경계→심각으로 구분된다.로그인 없이 서버 장악 가능⋯홈페이지·쇼핑몰 등 피해 우려PHP는 홈페이지와 온라인 쇼핑몰, 게시판, 관리자 페이지 등 다양한 웹서비스를 개발하는 데 사용되는 프로그래밍 언어다. 국내에서 널리 사용되는 워드프레스와 그누보드 등 홈페이지 제작 도구도 PHP를 기반으로 동작한다.과기정통부에 따르면, 발견된 취약점은 공격자가 아이디와 비밀번호 없이 인터넷을 통해 특수하게 조작된 요청을 보내며 서버에 원하는 명령을 실행할 수 있어 위험도가 높다.공격에 성공할 경우 서버에 원격조종 파일인 웹셸(Webshell)을 몰래 설치할 수 있다. 고객정보를 탈취하거나 홈페이지 변조, 서비스 마비 등 피해 또한 발생할 수 있다는 게 정부 측 설명이다.정부는 특히 개별 홈페이지 프로그램이 아닌 PHP 자체에서 발견된 취약점이라는 점에서 위험성이 큰 것으로 보고 있다. 홈페이지를 안전하게 개발했더라도 서버에서 취약한 PHP 버전을 사용하고 있다면 공격 대상이 될 수 있어서다.유럽연합 사이버보안기관(CERT-EU)을 비롯해 영국과 네덜란드, 독일 등 주요국 보안당국도 이번 취약점을 '치명적' 등급으로 평가하고 긴급 보안 업데이트를 권고했다. 업데이트가 어려운 시스템은 인터넷에서 분리하거나 서비스를 일시 중단하도록 했다.배경훈 부총리 겸 과학기술정보통신부 장관이 서울 여의도 국회에서 열린 과학기술정보통신부 등에 대한 국정감사에서 의원 질의에 답변하고 있다. [사진=곽영래 기자]공격코드까지 공개…정부, 긴급 업데이트·비상대응 체계 가동PHP 개발팀은 21일(현지시간) 취약점을 해결한 보안 업데이트를 배포...