[더팩트ㅣ이윤경 기자] 프로그래밍 언어 PHP에서 인증 없이 서버에 명령을 실행할 수 있는 치명적인 보안 취약점이 발견된 가운데, 취약점 공개 나흘 전부터 악용 시도가 포착된 데 이어 공개 직후 공격 시도가 수백만건으로 급증한 것으로 나타났다.
23일 정보기술(IT)·보안업계에 따르면 아마존 최고정보보안책임자(CISO)인 CJ 모지스 보안공학 담당 부사장(VP)은 최근 자사 보안 블로그를 통해 지난 17일 PHP2Shell 취약점 악용 시도를 포착했다고 밝혔다. 취약점 공개 나흘 전으로, 아마존의 위협 탐지용 허니팟 네트워크인 '매드팟(MadPot)'에서 확인됐다.
해당 공격은 상용 익명화 네트워크와 연관된 IP에서 시작됐으며, 아마존은 취약점 공개 당일에도 여러 공격자의 악용 시도를 포착했다. 아마존은 공격자가 취약점 정보를 사전에 확보한 경위와 실제 운영 서버에서 공격이 성공했는지는 확인되지 않았으며, 관련 기술 분석을 진행 중이다.
미국 인터넷 보안업체 클라우드플레어의 매슈 프린스 최고경영자(CEO)도 엑스(X·옛 트위터)를 통해 공격 시도가 급증했다고 밝혔다. 프린스 CEO에 따르면 클라우드플레어 네트워크에서는 취약점이 공개되기 전 10시간 동안 수천건의 악용 시도가 관측됐다. 이후 공개 45분 만에 수만건, 2시간 이내 수십만건으로 늘었으며, 이후 수백만건에 달했다고 한다.
◆ 취약점 공개 전부터 공격…인증 없이 서버 명령 실행 가능
앞서 PHP 개발팀은 지난 21일(현지시간) 보안 취약점 2건(CVE-2026-109618, CVE-2026-109619)에 대한 보안 업데이트를 공개했다. 두 취약점은 공통 취약점 평가 시스템(CVSS) 4.0 기준 각각 9.2점으로 '치명적(Critical)' 등급에 해당한다.
이번 취약점은 공격자가 별도의 로그인이나 인증 절차 없이 조작된 웹 요청을 보내 취약한 서버에서 임의의 코드를 실행할 수 있는 원격 코드 실행(RCE) 취약점이다. 공격에 성공하면 서버에 웹셸 등 악성 파일을 설치하거나 고객 정보를 탈취하고, 홈페이지를 변조하거나 서비스를 마비시키는 피해로 이어질 수 있다.
특히 PHP 자체의 보안 취약점이라는 점에서 위험성이 크다. 워드프레스와 그누보드 등 PHP를 기반으로 하는 홈페이지 제작 도구를 비롯해 PHP를 사용하는 웹사이트와 서버가 영향을 받을 수 있다. 개별 홈페이지 프로그램에 별다른 보안 결함이 없더라도 서버에서 실행되는 PHP가 취약한 버전이라면 위험에 노출될 수 있다.
◆ 정부, 사이버위기경보 '주의' 격상…국내 보안업계 점검 지원
유럽연합 사이버보안기관(CERT-EU)과 영국·네덜란드·독일 등 주요국 사이버보안 기관도 신속한 보안 업데이트를 권고했다. 과학기술정보통신부는 한국인터넷진흥원(KISA)과 위기평가 회의를 거쳐 지난 22일 낮 12시부터 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 상향했다.
과기정통부와 KISA는 PHP를 사용하는 기업·기관에 운영 중인 모든 홈페이지와 시스템의 PHP 버전을 확인하고 보안 패치가 적용된 버전으로 즉시 업데이트할 것을 당부했다. 취약점을 수정한 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12이다. 업데이트 후에는 웹 서비스를 재시작해야 보안 조치가 적용된다.
PHP 8.1 이하 구버전은 PHP 프로젝트의 공식 보안 지원이 종료돼 지원되는 상위 버전으로 전환해야 한다. 당장 업데이트하기 어려운 시스템은 인터넷 연결을 차단하거나 서비스를 일시 중단하는 방안도 고려해야 한다.
과기정통부와 KISA는 패치 이후에도 이상 접속 기록과 웹셸 설치 여부 등 침해 흔적을 점검하라고 권고했다. 취약점 정보가 이미 공개된 만큼 보안 업데이트만으로 대응을 끝내지 말고, 기존에 공격을 받았는지도 확인해야 한다는 취지다. 피해가 의심되면 KISA에 신고해야 한다.
개인정보보호위원회도 PHP 취약점 악용에 따른 개인정보 유출을 막기 위해 개인정보처리자에게 긴급 보호조치를 당부했다. PHP 보안 패치와 불필요한 웹서비스 삭제는 물론, phpMyAdmin 등 데이터베이스(DB) 관리도구의 인터넷 직접 접근을 제한하고 개인정보 DB 접근권한을 최소화할 것을 권고했다. 아울러 개인정보 대량 조회·반출 등 비정상적인 접근 여부를 점검하고, 외주·수탁업체 및 호스팅 환경의 PHP 소프트웨어 사용 현황도 확인해야 한다고 강조했다.
국내 보안업계도 취약점 점검 지원에 나섰다. 오펜시브 보안 전문기업 엔키화이트햇은 이날 PHP2Shell 취약점 분석 보고서와 노출 여부를 확인할 수 있는 무료 진단 스캐너를 공개했다. 파이오링크도 웹사이트 주소를 입력하면 PHP 버전 등을 바탕으로 취약 여부와 필요한 조치 방법을 확인할 수 있는 'php2shell' 긴급 점검 페이지를 오픈했다.