데일리 TOP10
6위
전 세계 웹 70% 구동하는 PHP 치명적 결함 노출…글로벌 해킹 비상
뉴스보이
2026.10.22. 03:48
뉴스보이
2026.10.22. 03:48
미·유럽 당국의 즉시 오프라인 전환 권고와 대규모 선제 셧다운
1
전 세계 웹사이트 대다수가 사용하는 프로그래밍 언어 PHP에서 인증 없이 서버를 장악할 수 있는 치명적 보안 취약점이 발견됨.
2
보안업체들이 오픈AI 모델 등 AI를 활용해 10년 넘게 방치된 결함을 규명했고 PHP 개발진은 긴급 수정 패치를 배포함.
3
그러나 배포업체의 엠바고 파기로 패치 코드가 조기 유출되면서 해커들의 악성 코드 역분석과 초기 공격 시도가 감지됨.
4
이에 미 NSA·FBI와 각국 보안 당국은 즉각적인 업데이트를 권고하며 불가능할 경우 시스템을 오프라인으로 전환하라고 당부함.
5
권고에 따라 네덜란드 로테르담 항만과 주요 정부 포털 등 유럽 각국의 핵심 기반망 웹사이트가 선제적으로 운영을 중단함.
웹사이트 70퍼센트를 위협한 결함과 서버 격리 조치
10년 넘게 숨어 있던 결함은 어떻게 서버를 위협했나
정부 당국은 왜 사이버 셧다운까지 권고했나
국내 웹 생태계 영향과 앞으로 지켜볼 과제는 무엇인가
10년 넘게 숨어 있던 결함은 어떻게 서버를 위협했나
•
이번에 확인된 취약점은 해커가 로그인 절차를 거치지 않고도 외부에서 서버를 직접 장악할 수 있는 치명적인 결함입니다. 웹 프로그램 코드가 본격적으로 실행되기도 전 단계에서 작동하기 때문에 시스템 전체를 제어하는 원격 코드 실행으로 이어집니다.
•
공식 식별 번호는 CVE-2026-109618과 CVE-2026-109619이며 프로그램 비정상 종료 시 메모리 정리가 제대로 끝나지 않아 힙 영역 잔재를 잘못 참조하면서 일어납니다. 해당 문제는 PHP 5.4.0 버전부터 최신 8.5 계열까지 10년 넘게 방치되어 왔으나 오픈AI의 모델 등을 활용한 인공지능 분석을 통해 마침내 실체가 드러났습니다.
정부 당국은 왜 사이버 셧다운까지 권고했나
•
취약점을 메울 패치 코드가 사전에 유출되면서 해커들의 무기화 공격이 즉각 시작되었기 때문입니다. 공용 인터넷에 열려 있는 서버는 침입에 무방비로 노출될 위험이 커 각국 당국이 차단 지침을 내렸습니다.
•
배포를 맡은 체인가드가 엠바고를 깨고 6시간 일찍 패치 코드를 공개하자 인공지능을 이용한 역분석 공격 위험이 극도로 높아졌습니다. 실제로 2021년 로그포제이 사태 때도 미국 당국은 즉시 조치가 어려운 인터넷 연결 자산에 대해 인터넷 차단 긴급 지침을 발령한 바 있습니다.
•
실제 초기 침투 시도가 감지되자 네덜란드의 로테르담 항만과 정부 포털은 선제적으로 접속을 차단했습니다. 핀란드와 덴마크 등 유럽 각국 기관들도 피해를 막기 위해 웹사이트 운영을 멈추고 시스템을 오프라인으로 돌렸습니다.
국내 웹 생태계 영향과 앞으로 지켜볼 과제는 무엇인가
•
국내 웹 환경 역시 토종 게시판 솔루션 다수가 PHP를 기반으로 작동하고 있어 결코 안전지대라고 볼 수 없습니다. 워드프레스뿐 아니라 그누보드와 라이믹스를 쓰는 중소기업과 쇼핑몰 웹서버가 연쇄적으로 위험에 노출될 수 있습니다.
•
해외 보안 기관들이 발 빠르게 경보를 낸 것과 달리 국내 당국의 단독 긴급 보안 공지는 실시간으로 등록되지 않았습니다. 이에 따라 각 사이트를 운영하는 서버 관리자들이 사용하는 버전을 스스로 확인하고 조치해야 하는 상황입니다.
•
이번 문제는 개인용 컴퓨터가 아닌 웹 서버에서 직접 새 버전으로 업데이트해야 완전히 해결됩니다. 공식 기술 지원이 이미 끝난 구버전 서버들이 백포트 패치 코드를 제대로 반영할 수 있는지가 향후 주요 변수가 될 전망입니다.
10년 넘게 숨어 있던 결함은 어떻게 서버를 위협했나
•
이번에 확인된 취약점은 해커가 로그인 절차를 거치지 않고도 외부에서 서버를 직접 장악할 수 있는 치명적인 결함입니다. 웹 프로그램 코드가 본격적으로 실행되기도 전 단계에서 작동하기 때문에 시스템 전체를 제어하는 원격 코드 실행으로 이어집니다.
•
공식 식별 번호는 CVE-2026-109618과 CVE-2026-109619이며 프로그램 비정상 종료 시 메모리 정리가 제대로 끝나지 않아 힙 영역 잔재를 잘못 참조하면서 일어납니다. 해당 문제는 PHP 5.4.0 버전부터 최신 8.5 계열까지 10년 넘게 방치되어 왔으나 오픈AI의 모델 등을 활용한 인공지능 분석을 통해 마침내 실체가 드러났습니다.
정부 당국은 왜 사이버 셧다운까지 권고했나
•
취약점을 메울 패치 코드가 사전에 유출되면서 해커들의 무기화 공격이 즉각 시작되었기 때문입니다. 공용 인터넷에 열려 있는 서버는 침입에 무방비로 노출될 위험이 커 각국 당국이 차단 지침을 내렸습니다.
•
배포를 맡은 체인가드가 엠바고를 깨고 6시간 일찍 패치 코드를 공개하자 인공지능을 이용한 역분석 공격 위험이 극도로 높아졌습니다. 실제로 2021년 로그포제이 사태 때도 미국 당국은 즉시 조치가 어려운 인터넷 연결 자산에 대해 인터넷 차단 긴급 지침을 발령한 바 있습니다.
•
실제 초기 침투 시도가 감지되자 네덜란드의 로테르담 항만과 정부 포털은 선제적으로 접속을 차단했습니다. 핀란드와 덴마크 등 유럽 각국 기관들도 피해를 막기 위해 웹사이트 운영을 멈추고 시스템을 오프라인으로 돌렸습니다.
국내 웹 생태계 영향과 앞으로 지켜볼 과제는 무엇인가
•
국내 웹 환경 역시 토종 게시판 솔루션 다수가 PHP를 기반으로 작동하고 있어 결코 안전지대라고 볼 수 없습니다. 워드프레스뿐 아니라 그누보드와 라이믹스를 쓰는 중소기업과 쇼핑몰 웹서버가 연쇄적으로 위험에 노출될 수 있습니다.
•
해외 보안 기관들이 발 빠르게 경보를 낸 것과 달리 국내 당국의 단독 긴급 보안 공지는 실시간으로 등록되지 않았습니다. 이에 따라 각 사이트를 운영하는 서버 관리자들이 사용하는 버전을 스스로 확인하고 조치해야 하는 상황입니다.
•
이번 문제는 개인용 컴퓨터가 아닌 웹 서버에서 직접 새 버전으로 업데이트해야 완전히 해결됩니다. 공식 기술 지원이 이미 끝난 구버전 서버들이 백포트 패치 코드를 제대로 반영할 수 있는지가 향후 주요 변수가 될 전망입니다.
#PHP
#오픈AI
#미국 국가안보국
#미국 연방수사국
#네덜란드
이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다. AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
• 이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다.
• AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
