최근 발견된 PHP 취약점 ‘PHP2Shell’을 악용한 해킹 공격이 일반 웹서버뿐 아니라 기업 내부망에 연결된 네트워크 저장장치(NAS)와 공유기, 방화벽까지 넓어지고 있다는 경고가 나왔다. 기업의 중요 기술과 백업 데이터를 보관하고 여러 사용자와 공유하는 NAS가 새로운 사이버 공격 표적으로 떠오르고 있다는 지적이다. 30일 국내 보안업체 지니언스에 따르면 자사 클라우드 기반 네트워크 접근제어(NAC) 플랫폼에 연동된 장비 식별 데이터를 분석한 결과 내부망에서 PHP를 구동하는 장비의 96%가 PHP2Shell 취약점에 직접 노출된 것으로 나타났다. 취약 장비의 78%는 공식 보안 지원이 종료된 PHP 8.1 이하 버전을 사용하고 있었으며, 2018년 지원이 끝난 PHP 5.x 이하 버전을 구동하는 장비도 48%에 달했다. 취약 장비는 일반적인 서버에 국한되지 않았다. 전통적인 서버는 전체의 24%에 그쳤고, 폐쇄회로(CC)TV·영상저장장치와 보안 솔루션이 20%, 무선주파수인식(RFID) 리더 등 사물인터넷(IoT) 기기가 17%를 차지했다. 장비 유형조차 확인되지 않은 자산도 27%였다. 기업 내부망에 연결된 각종 저장장치와 네트워크 장비가 공격 경로가 될 수 있다는 의미다. 특히 확인된 취약 장비의 89%는 외부 인터넷 검색엔진이나 스캐너로 탐지하기 어려운 사설 인터넷주소(IP) 대역에 위치했다. 외부에 공개된 웹서버만 점검하는 기존 보안 대응으로는 내부망에 숨은 취약 장비를 찾아내기 어렵다는 것이다. NAS는 특히 랜섬웨어 등으로 원본 데이터가 손상됐을 때 복구에 활용할 백업 저장소로 쓰인다. NAS 자체가 공격받으면 저장된 파일이 유출되거나 암호화되는 것은 물론 백업 데이터까지 훼손돼 피해 복구가 어려워질 수 있다. 대만 NAS 제조사 ‘시놀로지’는 PHP2Shell이 자사 제품에서 구동되는 일부 애플리케이션에 영향을 미친다는 사실을 확인하고 워드프레스와 웹스테이션, 메일스테이션 등 PHP 기반 애플리케이션 10종에 대한 보안 업데이트를 발표했다. 시놀로지는 NAS 운영체제인 디스크스테이션 매니저(DSM) 버전별 패치를 제공하고 이용자들에게 신속한 업데이트를 권고했다. 한국인터넷진흥원(KISA)도 시놀로지 제품의 취약점과 관련해 보안 업데이트를 재차 권고했다. PHP2Shell 취약점이 실제 공격에 악용되고 있는 만큼 PHP 버전과 애플리케이션의 업데이트 상태를 확인하고, 지원이 종료된 구형 제품은 보안 패치나 교체 등 대응에 나서야 한다는 취지다. 국내외 NAS 이용자 커뮤니티에서는 저장된 파일의 확장자가 ‘LOCK3D’로 바뀌고 암호화됐다는 랜섬웨어 감염 의심 사례도 제기되고 있다. 다만 해당 사례들이 PHP2Shell 취약점을 악용한 공격으로 발생했는지는 아직 확인되지 않았다. 구체적인 침입 경로와 피해 규모에 대한 추가 조사가 필요한 상황이다. 보안업계는 기업들이 외부에 공개된 웹서버뿐 아니라 내부망에 연결된 NAS와 공유기, 방화벽 등 전체 IT 자산의 PHP 사용 여부와 버전을 점검해야 한다고 강조했다. 외부 접속이 필요한 장비는 접근 권한을 최소화하고, 보안 업데이트와 별도 백업을 통해 공격에 대비해야 한다.

웹사이트 개발에 쓰이는 프로그래밍 언어 ‘PHP’의 보안 취약점이 발견된 지 일주일 만에 이를 악용한 사이버 공격이 현실화하고 있다. 보안 패치 배포 이후에도 공격 시도가 잇따르는 가운데 한국 방화벽을 겨냥한 조직적 공격 정황도 포착됐다. 29일 보안업계에 따르면 이스라엘 사이버보안 기업 ‘드림’의 보안 연구조직 드림 리서치는 지난 23~24일 해커가 중국의 인터넷 검색 엔진인 ‘포파(FOFA)’를 이용해 한국과 미국, 일본, 대만에 있는 방화벽 240대를 최종 공격 대상으로 선정했다고 분석했다. 해커는 방화벽 관리 서버에 있는 원격 코드 실행 취약점 ‘PHP2Shell’을 이용해 침투했다. PHP가 지난 21일 보안 패치를 배포한 지 얼마 지나지 않아 실제 공격 경로로 악용된 것이다. 해커는 방화벽 24대에서 최고 관리자 권한까지 확보한 것으로 알려졌다. 이 중 미국 정부 관련 기관에서 방화벽 2대가 침해된 데 이어 내부 방화벽 관리 서버 1대까지 추가로 공격당하면서 전체 침해 규모는 25대로 늘었다. 해커는 방화벽을 통해 내부망에 접근한 뒤 기관 내 여러 방화벽을 관리하는 중앙 관리 서버에 침투했다. 해커가 장악할 경우 관리 시스템 설정과 인증 정보 등에 접근할 수 있는 권한을 가져 피해 여파가 커질 수 있다. 다만 실제 민감 정보의 유출 규모와 추가 시스템 침해 여부는 확인되지 않았고, 관리자 권한을 탈취당한 24대 중 국내 장비가 포함됐는지는 밝혀지지 않았다. PHP 취약점이 공개된 직후부터 이를 악용한 해커들의 공격 시도는 잇따라 관측됐다. 네덜란드 델프트공대의 델프트 위협 인텔리전스 연구소는 지난 21~28일까지 PHP2Shell을 악용한 공격 시도가 7만 2343건 관측됐다고 밝혔다. 공격 출발지로 확인된 인터넷주소(IP)는 659개로, 이 중 174개 IP에서는 코드나 악성코드 설치 프로그램을 전송하는 행위가 포착됐다. 인공지능(AI)이 소프트웨어의 결함을 찾는 데 동원되면서 보안업계는 AI의 보안 취약점 발견 속도를 따라잡느라 애를 먹는 모습이다. 뉴욕타임스에 따르면 오픈AI는 지난 5월부터 1300개가 넘는 버그를 발견했다. 구글 역시 지난 6월 AI를 활용해 자사 웹 브라우저 크롬에서 최근 2년 치보다 많은 1072개의 버그를 찾아 수정했다. 샘 올트먼 오픈AI 최고경영자는 지난 27일(현지시간) 미국 라스베이거스에서 열린 한 대담에서 “AI 시스템들이 얼마나 많은 취약점을 찾아내고 있는지 충격적”이라며 “유일한 해결책은 문제를 모두 찾아내 수정하는 것이지만 전체 공급망에서 모든 버그를 하나씩 패치(보완수정)하는 것은 너무 어려울 것”이라고 우려했다.

- TuxCare(턱스케어) 국내 독점 총판…지원 종료 PHP 환경의 보안 유지 방안 제시- PHP2Shell 취약점 2건 대응 패치 제공…상위 버전 전환 어려운 기업의 대응 지원- 추가 발견된 취약점은 별도 점검 필요…패치 적용부터 실행 환경 확인까지 강조 AI·ICT 전문기업 쿠도커뮤니케이션(대표 김용식)은 국내 독점 총판을 맡고 있는 글로벌 오픈소스 보안 전문기업 TuxCare(턱스케어)의 PHP 보안 지원 솔루션을 통해, 지원 종료(EOL) PHP를 운영하는 국내 기업의 보안 공백을 줄이기 위한 대응 방안을 제시한다. 최근 웹서비스 개발에 널리 사용되는 PHP에서 원격 코드 실행으로 이어질 수 있는 ‘PHP2Shell’ 취약점이 공개되면서 기업과 기관의 신속한 보안 업데이트 필요성이 커지고 있다. 이후 별도의 신규 취약점까지 추가로 확인되면서, 기존 패치 적용 여부뿐만 아니라 운영 환경과 서버 설정에 대한 지속적인 점검도 요구되고 있다. 특히 공식 지원이 종료된 구버전 PHP를 사용하는 기업은 보안 업데이트와 안정적인 서비스 운영을 함께 고려해야 하는 과제를 안고 있다. 기존 애플리케이션이나 확장 모듈과의 호환성 문제로 인해 상위 버전 전환에 상당한 시간이 소요될 수 있으며, 시스템 운영을 외부 업체에 위탁한 경우에는 실제 사용 중인 PHP 환경과 패치 적용 여부를 확인하는 과정도 뒷받침돼야 한다. 이에 대해 턱스케어는 연장 수명 주기 지원 솔루션인 ‘ELS(Endless Lifecycle Support) for Runtimes’를 통해 지원 종료 PHP를 포함한 대상 환경에 지속적인 보안 업데이트를 제공하고 있다. 이번에 문제가 된 PHP2Shell 취약점인 ‘CVE-2026-109618’과 ‘CVE-2026-109619’에 대해서도 보안 수정사항을 반영한 PHP 패키지를 지원한다. 솔루션의 핵심은 기존 버전 계열을 유지한 채 최신 보안 수정사항만 반영하는 ‘백포트(Backport)’ 방식이다. PHP 상위 버전으로 즉시 전환하기 어려운 기업도 지원 대상 환경에서는 보안 수정사항이 적용된 패키지를 활용해 취약점에 신속히 대응하고, 동시에 애플리케이션 호환성 검증과 단계적인 업그레이드를 안정적으로 준비할 수 있다. 다만 실제 적용 가능 여부는 운영체제(OS), PHP 버전, 패키지 구성 및 사용 중인 확장 모듈에 따라 사전 확인이 필요하다. 아울러 기존 PHP2Shell 대응과 이후 추가로 공개된 신규 취약점은 구분해 접근해야 한다. 한국인터넷진흥원(KISA)은 지난 10월 24일 보안 공지를 통해 신규 취약점인 ‘CVE-2026-115560’이 특정 세션 설정 조합에서 발생할 수 있으며, 앞서 10월 21일 배포된 PHP 보안 업데이트만으로는 해결되지 않는다고 안내했다. KISA는 해당 공지에서 영향을 받는 환경에 대해 파일 업로드 진행 상황 추적 기능을 비활성화하고 모든 PHP 작업 프로세스를 재시작하는 임시 조치를 권고했다. 따라서 일선 기업에서는 자사의 PHP 사용 여부와 버전, 패키지 공급 경로를 우선 파악하고 각 운영 환경에 맞는 보안 업데이트와 추가 조치 사항을 확인하는 과정이 요구된다. 패키지 업데이트 이후에는 실제 웹서비스를 처리하는 PHP 프로세스에 수정사항이 정상적으로 반영됐는지 검증하고, 기존 침해 흔적 여부도 함께 점검해야 한다. 외부 웹호스팅 서비스를 이용하는 기업 역시 운영업체에 자사 서비스의 취약점 영향 여부와 보안 조치 완료 여부를 확인할 필요가 있다. 쿠도커뮤니케이션은 턱스케어의 국내 공식 총판사로서 국내 기업에 관련 솔루션을 공급하고 있으며, 이번 보안 이슈를 계기로 지원 종료 소프트웨어의 보안 유지관리 필요성과 기업 환경에 맞춘 PHP 취약점 대응 방안을 적극 알린다는 계획이다. 구대완 턱스케어 한국지사 대표는 “기업 현장에서는 기존 서비스와의 호환성, 운영 영향 등을 고려해야 하기 때문에 PHP 상위 버전으로 즉시 전환하기 어려운 경우가 있다”며 “중요한 것은 전환을 준비하는 동안에도 보안 업데이트가 이어질 수 있도록 지원 체계를 확보하는 것”이라고 말했다. 이어 “사용 중인 PHP 환경과 취약점별 대응 여부를 정확히 확인하고, 긴급 보안 조치와 중장기 업그레이드 계획을 함께 추진해야 한다”고 강조했다.

메모리 부족 문제 수정·중단 반복“PHP 직원 15명, 세계 웹 70% 지탱”패치 사전 유출 등 사후 대응 미비北 해킹 세력, 韓 표적 공격 징후도KISA “추가 취약점 발견돼 주의를” 웹사이트용 프로그래밍 언어 ‘PHP’의 보안 취약점 발견으로 전 세계가 발칵 뒤집혀 긴급 대응에 나섰지만, 전후 대응 과정에서도 잇따라 허점이 드러났다. 취약점 수정 지연, 관리 조직의 인력 부족, 패치 정보의 사전 유출, 서비스 복구 지연 등 사실상 ‘인재’였다는 지적도 나온다. 25일 업계에 따르면 인공지능(AI)이 취약점을 찾아내는 속도는 빨라진 반면, 보안 허점을 수정하고 확산을 막는 조직의 대응 역량은 뒤처지면서 보안 위험이 높아지고 있다. PHP 개발팀이 앞서 발표한 보안 취약점 ‘PHP2Shell’도 초기 징후가 발견된 지 약 2년 만에야 세상에 모습을 드러냈다. PHP 개발팀은 “2024년 수년 만에 처음으로 외부 감사를 받았고, 이번 취약점의 원인이 되는 메모리 부족(OOM) 문제의 초기 징후를 확인했다”며 “OOM 상황에서 공격 가능성이 제기됐지만 구체적인 공격 경로가 발견되지 않았고 의사 결정 과정에 어려움이 생기며 수정 작업이 수개월간 중단되고 재개되길 반복했다”고 밝혔다. PHP를 관리하는 조직의 대응 역량 부족도 겹쳤다. 인도 매체 ‘인디안 익스프레스’는 25일(현지시간) “전 세계 웹사이트의 최대 70%를 지탱하는 PHP의 비영리 재단은 매우 빠듯한 예산으로 운영되고 있다”며 “정규직 직원 한 명과 시간제 계약직 직원 14명으로 구성돼 있다”고 지적했다. 이에 PHP 개발팀은 “수정 작업 지연은 보안팀의 의사 결정 과정과 자원 부족이라는 구조적인 문제에서 비롯된 것임을 부인할 수 없다”고 인정했다. 긴급 패치 배포 과정에서는 보안업계의 단일 대오가 무너졌다. 패치 배포업체인 ‘체인가드’가 예정시간보다 약 6시간 이상 먼저 패치가 적용된 이미지를 기습 공개했고, 보안업체 ‘캘리프’도 실수로 ‘해당 취약점을 이용한 공격 시연 영상’을 온라인에 게시했다가 삭제했다. 이를 통해 해커들이 공격 도구를 개발하는 데 필요한 정보가 빠르게 확산된 것으로 알려졌다. 아마존웹서비스(AWS)는 PHP의 취약점이 공개되기 나흘 전인 지난 17일부터 관련 공격 시도를 관측했다고 밝혔다. 클라우드플레어도 취약점 공개 이후 공격 시도가 수백만 건으로 급증했다고 설명했다. PHP 취약점에 대한 패치가 배포된 이후 각국 정부는 중단했던 서비스를 속속 복구하며 보안 업데이트에 나섰지만 해킹 위협과 이용자 불편은 계속되고 있다. 일본 소프트뱅크는 보안 점검을 위해 서비스를 중단한 지 이틀 만인 25일 오전에 지진·쓰나미 긴급 경보 서비스를 재개했지만 지방자치단체가 발송하는 재난·대피 정보는 여전히 제공되지 않고 있다. 프랑스 통신사 오랑주 역시 계열사 웹사이트와 앱 일부를 차단했다가 순차적으로 복구하고 있다. 한국을 비롯해 특정 국가와 산업을 겨냥한 표적 공격 움직임도 감지됐다. 보안업체 사이퍼마는 23일 북한 해킹조직 라자루스와 연계가 의심되는 세력이 한국·미국·일본 등의 정부기관과 은행을 우선 공격 대상으로 삼고 있다고 밝혔다. 제조업과 물류·항공·온라인 거래업체도 공격 후보에 올랐다. 다만 실제 침투 여부와 북한 조직과의 연관성은 확인되지 않았다. 한국인터넷진흥원(KISA)은 전날 추가 보안 공지를 통해 PHP 개발팀이 기존에 공개한 2건 외에 새로운 원격 코드 실행 취약점을 발표했다며 주의를 당부했다.

웹사이트용 프로그래밍 언어 ‘PHP’의 보안 취약점 발견으로 전 세계가 발칵 뒤집혀 긴급 대응에 나섰지만, 전후 대응 과정에서도 잇따라 허점이 드러났다. 취약점 수정 지연, 관리 조직의 인력 부족, 패치 정보의 사전 유출, 서비스 복구 지연 등 사실상 ‘인재’였다는 지적도 나온다. 25일 업계에 따르면 인공지능(AI)이 취약점을 찾아내는 속도는 빨라진 반면, 보안 허점을 수정하고 확산을 막는 조직의 대응 역량은 뒤처지면서 보안 위험이 높아지고 있다. PHP 개발팀이 앞서 발표한 보안 취약점 ‘PHP2Shell’도 초기 징후가 발견된 지 약 2년 만에야 세상에 모습을 드러냈다. PHP 개발팀은 “2024년 수년 만에 처음으로 외부 감사를 받았고, 이번 취약점의 원인이 되는 메모리 부족(OOM) 문제의 초기 징후를 확인했다”며 “OOM 상황에서 공격 가능성이 제기됐지만 구체적인 공격 경로가 발견되지 않았고 의사 결정 과정에 어려움이 생기며 수정 작업이 수개월간 중단되고 재개되길 반복했다”고 밝혔다. PHP를 관리하는 조직의 대응 역량 부족도 겹쳤다. 인도 매체 ‘인디안 익스프레스’는 25일(현지시간) “전 세계 웹사이트의 최대 70%를 지탱하는 PHP의 비영리 재단은 매우 빠듯한 예산으로 운영되고 있다”며 “정규직 직원 한 명과 시간제 계약직 직원 14명으로 구성돼 있다”고 지적했다. 이에 PHP 개발팀은 “수정 작업 지연은 보안팀의 의사 결정 과정과 자원 부족이라는 구조적인 문제에서 비롯된 것임을 부인할 수 없다”고 인정했다. 긴급 패치 배포 과정에서는 보안업계의 단일 대오가 무너졌다. 패치 배포업체인 ‘체인가드’가 예정시간보다 약 6시간 이상 먼저 패치가 적용된 이미지를 기습 공개했고, 보안업체 ‘캘리프’도 실수로 ‘해당 취약점을 이용한 공격 시연 영상’을 온라인에 게시했다가 삭제했다. 이를 통해 해커들이 공격 도구를 개발하는 데 필요한 정보가 빠르게 확산된 것으로 알려졌다. 아마존웹서비스(AWS)는 PHP의 취약점이 공개되기 나흘 전인 지난 17일부터 관련 공격 시도를 관측했다고 밝혔다. 클라우드플레어도 취약점 공개 이후 공격 시도가 수백만 건으로 급증했다고 설명했다. PHP 취약점에 대한 패치가 배포된 이후 각국 정부는 중단했던 서비스를 속속 복구하며 보안 업데이트에 나섰지만 해킹 위협과 이용자 불편은 계속되고 있다. 일본 소프트뱅크는 보안 점검을 위해 서비스를 중단한 지 이틀 만인 25일 오전에 지진·쓰나미 긴급 경보 서비스를 재개했지만 지방자치단체가 발송하는 재난·대피 정보는 여전히 제공되지 않고 있다. 프랑스 통신사 오랑주 역시 계열사 웹사이트와 앱 일부를 차단했다가 순차적으로 복구하고 있다. 한국을 비롯해 특정 국가와 산업을 겨냥한 표적 공격 움직임도 감지됐다. 보안업체 사이퍼마는 23일 북한 해킹조직 라자루스와 연계가 의심되는 세력이 한국·미국·일본 등의 정부기관과 은행을 우선 공격 대상으로 삼고 있다고 밝혔다. 제조업과 물류·항공·온라인 거래업체도 공격 후보에 올랐다. 다만 실제 침투 여부와 북한 조직과의 연관성은 확인되지 않았다. 한국인터넷진흥원(KISA)은 전날 추가 보안 공지를 통해 PHP 개발팀이 기존에 공개한 2건 외에 새로운 원격 코드 실행 취약점을 발표했다며 주의를 당부했다.

전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견되면서 국내에도 비상이 걸렸다. 국내에서 취약한 버전을 사용하는 것으로 추정되는 서버가 약 11만건에 달하는 데다, 취약점을 악용할 수 있는 공격 코드까지 빠르게 퍼지고 있다. 정부는 주요 기업에 긴급 보안 조치를 요청하고 중소기업 지원 방안도 검토하고 있다. 22일 보안업계에 따르면 PHP 개발진은 지난 21일(현지시간) 외부 공격자가 별도의 인증 절차 없이 서버에서 임의의 코드를 실행할 수 있는 취약점 2건을 수정한 보안 업데이트를 배포했다. ‘PHP2Shell’로 불리는 이번 취약점은 위험도 평가에서 10점 만점에 9.2점을 받았다. PHP는 웹사이트의 로그인과 게시판, 결제 등의 기능을 구현하는 데 쓰이는 프로그래밍 언어다. 전 세계 웹사이트의 약 70~75%가 PHP를 사용하는 것으로 추정된다. 국내에서도 상당수 웹사이트가 위험에 노출됐을 가능성이 있다. 안랩에 따르면 인터넷에 공개된 서버 정보를 분석한 결과, 취약한 PHP 버전을 사용하는 것으로 추정되는 국내 서버가 약 11만건으로 집계됐다. 세계에서 여섯 번째로 많은 규모다. 국내 홈페이지와 게시판 제작에 널리 활용되는 그누보드와 라이믹스도 PHP를 기반으로 한다. 다만 11만건은 보안 패치 배포 이전에 파악한 추정치로, 실제 공격에 취약한 서버나 피해 규모와는 차이가 있다. 취약점이 공개된 이후 공격 관련 코드도 빠르게 확산하고 있다. 안랩 시큐리티 인텔리전스 센터(ASEC)가 코드 공유 플랫폼 깃허브의 관련 저장소 100개를 분석한 결과, 99개가 이번 취약점과 관련된 것으로 나타났다. 대부분 하루 사이 생성됐으며, 이 가운데 36개는 취약점을 이용한 공격 가능성을 보여주는 개념증명(PoC) 및 재현용 저장소였다. 실제 작동 여부가 확인되지 않은 코드도 있지만, 해외 보안업체 워치타워는 해당 취약점을 악용한 공격 시도를 관측했다고 밝혔다. 보안 패치가 공개되는 과정에서도 논란이 불거졌다. PHP 재단에 따르면 보안업체 체인가드는 공식 배포 예정 시각보다 약 6시간 먼저 수정된 코드를 공개했다. 공격자들이 수정 전후의 코드를 비교해 취약점을 악용할 방법을 찾아낼 수 있도록 했다는 비판이 제기됐다. 체인가드 측은 이미 실제 공격 징후가 포착돼 조기 공개했다고 해명했다. 이번 결함은 2024년 보안 감사에서도 일부 징후가 확인됐지만, 기존 프로그램과의 호환성 문제와 개발진의 의사결정 지연 등으로 수정되지 않았던 것으로 드러났다. 인공지능(AI)이 취약점 발견에 활용됐다는 점도 주목된다. 미국 보안업체 캘리프 연구진은 오픈AI의 AI 모델을 활용해 기존에 알려진 결함이 실제 서버 공격으로 이어질 수 있다는 사실을 확인했다. AI가 보안 취약점을 찾아내는 데 걸리는 시간을 줄이는 동시에 공격자가 이를 악용하는 속도도 높일 수 있다는 우려가 나온다. 정부도 대응에 나섰다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 이날 사이버 위협정보 분석·공유 시스템(C-TAS) 참여 기업과 정보보호 최고책임자(CISO) 신고 의무 기업에 보안 조치를 안내했다. PHP를 사용하는 기업과 기관에는 최신 보안 버전으로 업데이트할 것을 권고하고, 자체 보안 인력이 부족한 중소기업에 대한 긴급 패치 지원도 검토하고 있다.