PHP투셸 공격 대응이 국내에서 이어지는 가운데 정부가 22일 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 높였다.
인증 없이 악성코드 실행 가능한 취약점
과학기술정보통신부와 한국인터넷진흥원은 22일 낮 12시를 기해 경보를 ‘관심’에서 ‘주의’로 올렸다. 긴급 조치 안내 대상은 정보보호 최고책임자 신고기업 약 2만8000곳과 사이버위협정보 공유체계 회원사 약 5900곳 등이며, 두 기관은 비상대응 체계도 가동했다.
PHP투셸은 PHP의 메모리 관리 결함에서 비롯된 취약점 2건이다. 식별번호는 CVE-2026-109618과 CVE-2026-109619이며, 인증 없이 서버에서 악성코드를 실행할 수 있다. 위험도는 10점 만점에 9.2점이다.
아마존 위협 인텔리전스팀은 PHP 개발팀의 패치 배포일인 21일보다 나흘 앞선 17일 악용 시도를 탐지했다고 밝혔다. 임퍼바는 공개 초기 24시간 동안 자사 보호 환경에서 관련 요청 48만2342건과 공격 세션 12만2311건을 확인했다. 대상은 103개국 웹사이트 2만1998곳이지만, 이 수치가 실제 침해 성공 건수를 뜻하지는 않는다.
팔로알토네트웍스는 인터넷에 노출된 PHP 인스턴스를 전 세계 약 2200만개로 추정했다. 회사는 이들 모두가 취약하다는 의미는 아니라고 설명했다.
국내 보안기업 무료 점검 지원
티오리는 공격 코드를 재현한 뒤 대응 가이드와 설정 점검 스크립트를 공개했다. 임시 조치만으로는 공격을 완전히 막을 수 없고 일부 기능에 영향을 줄 수도 있어 공식 패치 적용이 필요하다고 강조했다.
엔키화이트햇은 PHP 버전과 설정을 확인하는 무료 진단 스캐너를 내놨다. 이성권 대표는 “이번 PHP투셸과 같이 파급력이 큰 취약점은 공격자보다 먼저 노출 자산을 식별하고 조치하는 ‘골든타임’ 확보가 중요하다”고 말했다.
파이오링크는 웹사이트 주소를 입력하면 PHP 버전과 패치 필요 여부를 안내하는 점검 페이지를 열었다. 버전 정보를 확인할 수 없는 서버는 ‘확인 불가’로 표시하고 운영자가 직접 점검하도록 안내한다. 스틸리언도 무료 온라인 점검 서비스를 공개했다. 박찬암 대표는 “보안 인력이 부족한 중소기업과 기관에 조금이나마 도움이 되기를 바라는 마음으로 서비스를 공개했다”고 밝혔다. 안랩은 공격을 재현하고 비정상 명령 실행과 웹셸 생성, 파일 변경 등을 탐지하는 방법을 제시했다.
외부 점검 방식에는 한계도 따른다. 서버가 PHP 버전을 숨기고 있으면 취약 여부를 가리기 어렵고, 점검 결과가 정상으로 나와도 내부 설정이나 이전 침해 여부는 알 수 없다.
패치 뒤 재시작·침해 흔적 확인 필요
한국인터넷진흥원은 PHP를 최신 보안 버전으로 올린 뒤 웹서비스를 재시작하라고 권고했다. 업데이트 전의 실행 프로그램이 메모리에 남아 있으면 여전히 취약할 수 있기 때문이다. 접속 기록은 최소 10월 20일 이후분을 점검하고, 가능하면 그 이전 기록도 살펴야 한다. 또 패치 뒤에도 웹셸이 설치됐는지 확인하고, 데이터베이스 비밀번호와 인증 토큰 같은 주요 인증정보를 바꿔야 한다.
개인정보보호위원회는 외부에 노출됐거나 과도한 권한이 설정된 phpMyAdmin 등 PHP 기반 데이터베이스 관리도구에 주의를 당부하며, 관리도구의 인터넷 접근 제한과 개인정보 대량조회·반출 등 비정상적인 접속 기록 점검을 요청했다. 양청삼 사무처장은 “이번 취약점은 홈페이지 자체의 침해에 그치지 않고, 이와 연결된 데이터베이스에 저장된 다수 이용자의 개인정보가 유출되는 등 대규모 피해로 이어질 우려가 있다”며 “보안 업데이트와 함께 의심스러운 접속 점검 등 관리 체계를 강화해야 한다”고 밝혔다.
한준호 의원은 23일 국정감사에서 정부가 긴급 보안 경보를 발령했는데도 한국인터넷진흥원이 공공기관의 취약 시스템 보유 현황과 업데이트 완료 여부를 충분히 확인하지 못하고 있다고 지적했다. 이상중 한국인터넷진흥원장은 기관별로 운영 책임이 나뉘어 있어 개별 시스템을 직접 점검하는 데 제도적 제약이 있다는 취지로 답했다. 한 의원은 후속 대응 현황을 의원실에 보고해 달라고 요청했다.
