PHP에서 서버 명령을 실행할 수 있는 취약점 두 건이 공개된 뒤 유럽의 정부 기관과 병원, 학교 등이 웹사이트나 시스템을 잇달아 중단했습니다. 공격을 당한 것으로 확인돼서가 아니라, 취약점 악용을 막기 위한 예방 조치인 경우도 있습니다.
로이터와 블룸버그 보도를 인용한 AI Times에 따르면 네덜란드에서는 정부 포털과 로테르담 항만, 병원 등의 사이트가 영향을 받았습니다. 덴마크의 학교 소통 플랫폼과 핀란드·독일·프랑스의 정부 사이트도 일시 차단됐습니다. 네덜란드에서는 소프트웨어업체 노투비즈 서비스를 쓰는 기관 100곳 이상이 영향을 받았습니다.
취약점은 얼마나 널리 영향을 주나
취약점은 ‘PHP2Shell’로 불리며, 특정 조건에서는 계정이나 비밀번호 없이 서버에 명령을 실행할 수 있습니다. 심각도는 두 건 모두 10점 만점에 9.2점으로 평가됐습니다. 공격에 성공하면 데이터를 훔치거나 웹페이지를 바꾸고 시스템을 장악할 수 있습니다.
PHP는 웹사이트 서버에서 요청을 처리하는 프로그래밍 언어입니다. 서버 측 언어를 확인할 수 있는 웹사이트 가운데 약 70%가 PHP를 사용하고, 전체 웹사이트의 약 40%를 구동하는 WordPress도 PHP에 의존합니다. 따라서 취약점의 영향은 특정 기관에 그치지 않을 수 있습니다.
보안업체 Calif는 OpenAI의 GPT-5.6 Sol을 활용해 결함을 찾아 신고했다고 밝혔습니다. Wiz도 자체 AI 도구와 Google의 Gemini 4 Argon, GPT-5.6 Sol로 문제를 확인했습니다. Wiz는 취약점이 10년 넘게 코드에 있었지만 공격으로 이어가는 과정이 복잡했고, AI가 그 장벽을 낮췄다고 설명했습니다.
패치 적용 여부를 확인해야 한다
PHP 개발진은 취약점 정보와 공격 시연 영상이 예정보다 일찍 공개되자 수정본 배포를 앞당겼습니다. 하지만 수정본이 나왔다는 사실만으로 각 서버가 안전해지는 것은 아닙니다. Cloudflare는 초기 공격 시도를 관찰했다고 밝혔고, 미국 CISA는 발표 시점까지 악용 사례를 확인하지 못했다고 전했습니다. 실제 침입이나 데이터 유출 규모는 확인되지 않았습니다.
워드프레스 사이트 운영자는 일반적인 WordPress 자동 업데이트만으로 문제가 해결된다고 가정하면 안 됩니다. 서버에 설치된 PHP 자체를 확인하고 수정본을 적용해야 합니다. 즉시 업데이트하기 어렵다면 미국과 유럽 보안기관들은 수정·검증이 끝날 때까지 외부 접속을 차단하라고 권고했습니다.
왜 중요한가
정부·병원·학교 사이트 이용자는 예방 차단 때문에 서비스를 이용하지 못할 수 있지만, 사이트가 멈췄다고 해서 해킹 피해가 확인된 것은 아닙니다. PHP를 운영하는 기관은 WordPress 업데이트 여부와 별개로 서버의 PHP 버전을 점검해야 합니다. 실제 침입이나 데이터 유출 규모는 아직 확인되지 않았습니다.
