데일리 TOP10
4위
웹 프로그래밍 언어 PHP서 치명적 결함 발견…전 세계 웹사이트 보안 비상
뉴스보이
2026.10.22. 11:30
뉴스보이
2026.10.22. 11:30
정부 사이버위기 경보 '주의' 격상과 긴급 보안 패치 권고
1
인공지능(AI)을 활용한 보안 연구진이 웹 언어 PHP 엔진에서 10년 넘게 숨어 있던 치명적 결함 2건을 찾아냄.
2
해당 결함은 별도 인증 없이 원격으로 임의 코드를 실행해 서버를 장악할 수 있는 고위험 취약점임.
3
패치 전 정보 유출과 공격 시도로 유럽 각국 정부 기관이 일부 대민 웹사이트를 잇달아 중단함.
4
이에 PHP 개발진은 패치 배포를 앞당겼으며, 한국 정부도 22일 민간 사이버위기 경보를 '주의'로 격상함.
5
보안 당국은 8.2~8.5 버전 사용 서버에 즉시 업데이트를 적용하고 지원 종료 버전은 업그레이드할 것을 당부함.
10년간 숨은 결함이 드러낸 오픈소스 보안의 그늘
이번 PHP 결함은 왜 치명적인가
10년 넘게 방치된 결함이 어떻게 발견되었나
패치 유출과 전 세계적 비상 대응
국내 사이버위기 경보 격상과 필수 점검 사항
이번 PHP 결함은 왜 치명적인가
•
이번에 드러난 취약점은 해커가 로그인 절차 없이 외부에서 원격으로 임의 코드를 실행해 시스템을 완전히 장악할 수 있는 고위험 결함입니다. 취약점 평가 기준인 CVSS 점수에서도 9.2점을 기록해 최고 위험 등급인 치명적 수준으로 분류되었습니다.
•
구체적인 결함은 부적절한 예외 상황 처리인 CVE-2026-109618과 해제 후 사용 문제인 CVE-2026-109619 등 두 건으로 확인되었습니다. 개별 웹사이트의 코딩 실수가 아니라 웹 언어 엔진 자체의 문제여서 프로세스 메모리를 직접 탈취당할 위험이 있습니다.
10년 넘게 방치된 결함이 어떻게 발견되었나
•
잠복해 있던 결함은 오픈AI의 오픈소스 보안 프로그램에 참여한 보안업체 캘리프 연구진이 AI 모델을 활용해 소스코드를 검증하면서 밝혀졌습니다. 사람이 직접 찾아내기에는 구조가 지나치게 복잡해 오랜 기간 방치되었던 코드를 인공지능 분석으로 포착했습니다.
•
PHP 재단은 2024년 외부 보안 감사에서 문제의 단초를 찾았으나 인력 부족과 의견 차이로 수개월간 대응을 미뤄 구조적 실패를 인정했습니다. 이는 2014년 핵심 보안 소프트웨어의 관리 부실로 발생했던 하트블리드 사태처럼 오픈소스 인프라의 취약성을 다시 드러냈습니다.
패치 유출과 전 세계적 비상 대응
•
개발진은 22일 패치를 배포할 예정이었으나 20일 온라인에 관련 정보가 사전 유출되면서 일정을 하루 앞당겼습니다. 일부 보안업체가 공식 배포 전 패치 이미지를 공개하며 엠바고 파기 논란이 일어나는 등 현장의 혼란도 가중되었습니다.
•
글로벌 보안 관제망에서는 전 세계를 상대로 한 무차별 탐색과 공격 시도가 즉각 포착되었습니다. 이에 독일과 프랑스, 벨기에, 핀란드 등 유럽 각국 정부는 잠재적 피해를 막기 위해 주요 공공 웹사이트 운영을 일시 중단했습니다.
국내 사이버위기 경보 격상과 필수 점검 사항
•
정부는 2026년 10월 22일 낮 12시부로 민간 분야 사이버위기 경보를 관심에서 주의로 격상했습니다. 이에 따라 관련 기관 종합상황실 운영을 강화하고 24시간 비상 집중 모니터링 체제로 전환했습니다.
•
PHP 8.2부터 8.5 버전을 운영하는 기업과 기관은 보안 결함이 수정된 지정 버전 이상으로 즉시 업데이트해야 합니다. 공식 지원이 끝난 구버전은 최신 계열로 업그레이드하고 웹셸 생성 여부 등 침해 흔적을 전수 점검해야 합니다.
•
워드프레스 같은 제작 도구나 플러그인만 업데이트해서는 이번 엔진 결함을 막을 수 없습니다. 서버에 직접 설치된 프로그래밍 언어 엔진 자체를 최신 상태로 교체해야 안전을 확보할 수 있습니다.
이번 PHP 결함은 왜 치명적인가
•
이번에 드러난 취약점은 해커가 로그인 절차 없이 외부에서 원격으로 임의 코드를 실행해 시스템을 완전히 장악할 수 있는 고위험 결함입니다. 취약점 평가 기준인 CVSS 점수에서도 9.2점을 기록해 최고 위험 등급인 치명적 수준으로 분류되었습니다.
•
구체적인 결함은 부적절한 예외 상황 처리인 CVE-2026-109618과 해제 후 사용 문제인 CVE-2026-109619 등 두 건으로 확인되었습니다. 개별 웹사이트의 코딩 실수가 아니라 웹 언어 엔진 자체의 문제여서 프로세스 메모리를 직접 탈취당할 위험이 있습니다.
10년 넘게 방치된 결함이 어떻게 발견되었나
•
잠복해 있던 결함은 오픈AI의 오픈소스 보안 프로그램에 참여한 보안업체 캘리프 연구진이 AI 모델을 활용해 소스코드를 검증하면서 밝혀졌습니다. 사람이 직접 찾아내기에는 구조가 지나치게 복잡해 오랜 기간 방치되었던 코드를 인공지능 분석으로 포착했습니다.
•
PHP 재단은 2024년 외부 보안 감사에서 문제의 단초를 찾았으나 인력 부족과 의견 차이로 수개월간 대응을 미뤄 구조적 실패를 인정했습니다. 이는 2014년 핵심 보안 소프트웨어의 관리 부실로 발생했던 하트블리드 사태처럼 오픈소스 인프라의 취약성을 다시 드러냈습니다.
패치 유출과 전 세계적 비상 대응
•
개발진은 22일 패치를 배포할 예정이었으나 20일 온라인에 관련 정보가 사전 유출되면서 일정을 하루 앞당겼습니다. 일부 보안업체가 공식 배포 전 패치 이미지를 공개하며 엠바고 파기 논란이 일어나는 등 현장의 혼란도 가중되었습니다.
•
글로벌 보안 관제망에서는 전 세계를 상대로 한 무차별 탐색과 공격 시도가 즉각 포착되었습니다. 이에 독일과 프랑스, 벨기에, 핀란드 등 유럽 각국 정부는 잠재적 피해를 막기 위해 주요 공공 웹사이트 운영을 일시 중단했습니다.
국내 사이버위기 경보 격상과 필수 점검 사항
•
정부는 2026년 10월 22일 낮 12시부로 민간 분야 사이버위기 경보를 관심에서 주의로 격상했습니다. 이에 따라 관련 기관 종합상황실 운영을 강화하고 24시간 비상 집중 모니터링 체제로 전환했습니다.
•
PHP 8.2부터 8.5 버전을 운영하는 기업과 기관은 보안 결함이 수정된 지정 버전 이상으로 즉시 업데이트해야 합니다. 공식 지원이 끝난 구버전은 최신 계열로 업그레이드하고 웹셸 생성 여부 등 침해 흔적을 전수 점검해야 합니다.
•
워드프레스 같은 제작 도구나 플러그인만 업데이트해서는 이번 엔진 결함을 막을 수 없습니다. 서버에 직접 설치된 프로그래밍 언어 엔진 자체를 최신 상태로 교체해야 안전을 확보할 수 있습니다.
#PHP
#인공지능
#대한민국
#사이버위기 경보
#보안 취약점
이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다. AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
• 이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다.
• AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
