전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 'PHP'에서 인증 없이 시스템을 장악할 수 있는 치명적인 보안 취약점이 발견되자 정부가 긴급 대응에 나섰다. 국내 기업 수만곳에 보안 조치를 요청하는 등 피해 예방에 나선 것이다.
22일 정부 당국에 따르면 과학기술정보통신부와 한국인터넷진흥원(KISA)은 전날 밤 사이버 위협정보 분석·공유 시스템(C-TAS) 회원사와 정보보호 최고책임자(CISO) 신고 의무 기업을 대상으로 PHP 취약점에 대한 보안 조치를 요청했다.
C-TAS는 KISA가 운영하는 사이버 위협정보 공유 체계로 약 5900개 기업과 기관이 참여하고 있다. 정보통신망법에 따라 CISO를 지정해 과기정통부에 신고해야 하는 기업도 3만여곳에 이른다. 정부는 사이버보안 정보 포털인 'KISA 보호나라'에도 보안 업데이트와 패치 적용을 권고하는 공지를 게시했다.
이번에 발견된 취약점은 '부적절한 예외 상황 처리'(CVE-2026-109618)와 '해제 후 사용'(CVE-2026-109619) 등 2건이다. 공격자가 이를 악용하면 별도의 로그인이나 인증 없이 원격으로 임의의 코드를 실행하거나 시스템을 장악할 수 있는 것으로 알려졌다.
PHP 개발진은 21일 해당 취약점을 수정한 새 버전을 공개했다. 영향을 받는 제품은 PHP 8.2부터 8.5까지 4개 버전으로, KISA는 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상으로 업데이트할 것을 권고했다. 보안 지원이 종료된 PHP 8.1 이하 버전은 지원 중인 버전으로 교체해야 한다.
웹 기술 분석업체 W3Techs에 따르면 서버 측 프로그래밍 언어를 식별할 수 있는 웹사이트의 약 70%가 PHP를 사용한다. 전체 웹사이트의 약 43%에서 사용되는 워드프레스도 PHP를 기반으로 작동한다.
이번 취약점은 AI(인공지능)를 활용한 보안 분석 과정에서 발견된 것으로 전해졌다. 사이버보안업체 캘리프는 오픈AI의 AI 모델 'GPT-5.6 솔'을 활용해 취약점을 찾아냈다.
