유럽·캐나다 등 정부는 웹사이트 일시 중단
한국인터넷진흥원(KISA)이 웹사이트 개발에 널리 사용되는 프로그래밍 언어 'PHP'의 보안 취약점 2건에 대해 업데이트를 권고했다. 유럽과 캐나다에서는 일부 정부기관이 예방 차원에서 웹사이트 운영을 일시 중단하는 등 보안 우려가 확산하고 있다.
22일 KISA에 따르면 PHP 개발·관리 조직인 'PHP 그룹'은 전날 보안 취약점 2건을 해결한 업데이트를 발표했다.
이번에 확인된 취약점은 예외 상황을 제대로 처리하지 못하는 '부적절한 예외 상황 처리'(CVE-2026-109618)와 이미 해제된 메모리를 다시 참조하는 '해제 후 사용'(CVE-2026-109619) 등이다. 두 취약점 모두 심각도가 10점 만점에 9.2점으로 평가됐다. 특정 조건에서 공격자가 별도의 로그인이나 인증 없이 원격으로 악성 코드를 실행할 수 있다.
이번 취약점은 AI(인공지능)를 활용한 보안 분석 과정에서 발견됐다. 로이터통신에 따르면 보안업체 캘리프는 오픈AI의 'GPT-5.6 솔'을 활용해 8월 11일 첫 번째 취약점을 PHP 개발팀에 보고했다. 구글 계열 보안업체 위즈도 AI 모델을 활용해 두 취약점을 독립적으로 발견했다. 해당 보안 결함은 수십 년 전부터 존재했던 것으로 알려졌다.
영향을 받는 제품은 PHP 8.2부터 8.5까지 4개 버전이다. PHP 8.2는 8.2.35, PHP 8.3은 8.3.36, PHP 8.4는 8.4.27, PHP 8.5는 8.5.12 미만 버전이 해당한다. KISA는 해당 버전 이상으로 업데이트할 것을 권고했다. PHP 8.1 이하 버전은 공식 보안 지원이 종료돼 지원 중인 버전으로 업그레이드해야 한다.
이번 취약점이 주목받는 이유는 PHP의 높은 보급률 때문이다. 웹 기술 분석업체 W3Techs에 따르면 서버 측 프로그래밍 언어를 확인할 수 있는 웹사이트의 약 70%가 PHP를 사용한다. 워드프레스와 드루팔 등 주요 콘텐츠관리시스템(CMS)도 PHP를 기반으로 작동한다.
네덜란드와 프랑스, 핀란드 등 유럽 국가와 캐나다 정부는 예방 차원에서 일부 정부 웹사이트 운영을 일시 중단했다. 미국 사이버보안·인프라보안국(CISA)도 관련 기관과 기업에 보안 업데이트를 권고했다.
