[비즈니스포스트] 한국인터넷진흥원(KISA)이 웹사이트 개발에 널리 사용되는 프로그래밍 언어 'PHP'에서 치명적 보안 취약점 2건이 발견되자 긴급 보안 업데이트를 권고했다.

한국인터넷진흥원은 22일 PHP에서 외부 공격자가 별도 인증 없이 원격으로 악성 코드를 실행할 수 있는 취약점이 확인됐다며 이용자와 웹사이트 관리자에게 최신 버전으로 업데이트할 것을 당부했다.
 

이번에 발견된 취약점은 예외 상황을 제대로 처리하지 못하는 '부적절한 예외 상황 처리'(CVE-2026-109618)와 메모리가 해제된 뒤에도 해당 메모리를 다시 참조하는 '해제 후 사용'(CVE-2026-109619) 등 2건이다.

이러한 취약점이 악용되면 공격자가 로그인이나 인증 절차 없이 외부에서 임의의 코드를 실행해 서버를 장악할 수 있다.

영향을 받는 제품은 PHP 8.2, 8.3, 8.4, 8.5 버전이다. 각 버전별로 8.2.35, 8.3.36, 8.4.27, 8.5.12 미만을 사용하고 있다면 보안 업데이트가 필요하다.

PHP 8.1 이하 버전은 공식 보안 지원이 종료된 만큼 지원 중인 버전으로 업그레이드해야 한다.

PHP는 전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어다. 

웹 기술 분석업체 W3Techs에 따르면 21일 기준 서버 측 프로그래밍 언어를 확인할 수 있는 웹사이트의 69.3%가 PHP를 사용하고 있다.

이번 취약점이 발견되면서 네덜란드와 핀란드 등 일부 유럽 국가의 정부기관은 예방 차원에서 웹사이트 운영을 중단했다. 유럽연합 사이버보안청(ENISA)과 호주 사이버보안 당국 등도 긴급 보안 업데이트를 권고했다.

PHP 개발팀은 21일 공식 발표문에서 “이번 취약점은 심각도가 높은 만큼 보안 업데이트를 적용하는 것이 완전한 해결을 위한 유일한 방법”이라고 말했다. 조승리 기자