국내 인터넷에 공개된 PHP 서비스의 보안패치 적용률이 3.9%에 그친 것으로 나타났다. 미국과 일본 등 주요국보다 현저히 낮은 수준으로, 치명적인 보안 취약점이 공개된 이후에도 상당수 서비스가 패치되지 않은 상태다.
27일 미국 사이버보안 기업 센시스(Censys)의 국가별 PHP 보안패치 현황에 따르면 국내에서 취약한 버전을 사용한 이력이 확인된 PHP 서비스는 50만8709개다.
이 가운데 보안패치 적용이 확인된 서비스는 1만9737개로, 전체의 3.9%에 불과했다.
한국의 패치율은 조사 대상 233개 국가·지역 가운데 181위다.
미국은 23.6%, 일본은 22.1%, 독일과 영국은 각각 31.6%, 30.2%를 기록했다. 패치 대상 서비스가 10만개 이상인 36개 국가·지역 중에서는 한국이 홍콩(2.3%)에 이어 두 번째로 낮았다.
PHP는 웹사이트의 로그인과 게시판 등 다양한 기능을 구현하는 프로그래밍 언어다. 최근 공개된 'PHP2Shell' 취약점은 공격자가 별도 인증 없이 서버에서 악성 명령을 실행하거나 시스템을 장악할 수 있어 긴급 대응이 요구된다.
과학기술정보통신부가 지난 22일 민간 분야 사이버 위기경보를 '관심'에서 '주의'로 상향하는 등 정부는 취약점 확산 방지를 위해 노력 중이다.
KISA는 △PHP 사용 여부 확인 △최신 버전 업데이트 △이상 징후 점검 등 3단계 대응 방안을 안내했다.
특히 패치 적용 후 서버를 재시작하고 침해 흔적을 점검하는 한편, 비밀번호도 교체하도록 권고했다. 중소기업과 소상공인은 KISA 전국 16개 지역정보보호센터에서 상담을 받거나 보호나라의 무료 홈페이지 취약점 점검 서비스를 활용할 수 있다.
다만 PHP 개발팀이 지난 23일 공개한 추가 취약점(CVE-2026-115560)은 기존 보안패치만으로 해결되지 않는다. 특정 세션 설정을 사용하는 서버에서는 파일 업로드 진행 상황 추적 기능을 비활성화하는 등 별도 조치가 필요하다.
과기정통부는 관계부처와 협력해 주요 시설의 취약점 영향을 파악하고, 호스팅·웹사이트 제작업체들과 중소기업 및 소상공인 지원 방안을 논의하고 있다.
아직 국내에서 이번 PHP 취약점과 관련해 신고된 침해사고는 없다고 알려졌다.
박진형 기자 jin@etnews.com
