전 세계 인터넷에 비상이 걸렸다? PHP 보안 취약점, 내 개인정보도 위험할까?

“로그인도 안 했는데 홈페이지 서버를 해킹할 수 있다고?”

평소 인터넷 쇼핑몰이나 은행 홈페이지를 이용하면서 이런 일이 가능하리라고 생각한 사람은 많지 않을 겁니다.

그런데 웹사이트를 움직이는 핵심 프로그램에서 심각한 보안 결함이 발견됐습니다. 해커가 아이디와 비밀번호를 몰라도 특정 조건에서는 서버에 악성 명령을 내릴 수 있다는 것입니다.

우리 정부는 2026년 10월 22일 낮 12시를 기해 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 높였습니다. 국내에서도 취약한 프로그램이 설치된 인터넷 자산이 약 11만 건에 이르는 것으로 추정됐습니다. (과학기술정보통신부 · 연합뉴스)

여기서 가장 걱정되는 것은 역시 개인정보입니다.

“내가 가입한 사이트도 해킹당한 걸까? 이름이나 전화번호, 비밀번호까지 유출될 수 있는 걸까?”

이번 사태의 핵심은 개인 휴대전화가 아니라 웹사이트를 운영하는 서버에 있습니다. 그렇다고 일반 이용자와 무관한 문제도 아닙니다. 서버가 뚫리면 그곳에 저장된 고객정보까지 위험해질 수 있기 때문입니다.

PHP 보안 취약점으로 서버가 공격받을 위험과 개인정보 보호 문제를 표현한 사이버보안 일러스트

※ 본문 이미지는 기사 이해를 돕기 위해 AI로 제작한 일러스트입니다. 실제 사진이 아니며, 인물·장소·상황의 표현은 실제와 일부 다를 수 있습니다.

이번에 문제가 된 기술은 ‘PHP’이고, 보안 취약점의 이름은 ‘PHP2Shell’입니다.

이름은 낯설지만 우리가 매일 이용하는 인터넷 서비스와 관련이 깊습니다. 왜 세계 각국이 긴급 대응에 나섰는지, 개인정보는 실제로 얼마나 위험한지 살펴보겠습니다.

정부는 왜 사이버위기 경보를 ‘주의’로 올렸을까?

PHP2Shell 보안 취약점 공개와 한국 정부의 사이버위기 경보 격상 과정을 정리한 타임라인

정부가 경보를 높인 이유는 이미 대규모 개인정보 유출이 발생했기 때문이 아니라, 심각한 서버 취약점이 공개되고 실제 공격 시도까지 보고됐기 때문입니다.

이번 사건을 시간순으로 정리하면 상황이 훨씬 분명해집니다.

날짜	실제 발생한 일
10월 21일	PHP 개발팀이 치명적 취약점 2건을 공개하고 긴급 수정 버전 배포
10월 22일	한국 정부가 낮 12시부터 민간 분야 사이버위기 경보를 ‘주의’로 격상
10월 22일	개인정보보호위원회가 개인정보 유출 예방을 위한 보호조치 당부
10월 23일	PHP 개발팀이 파일 업로드 진행 기능과 관련한 추가 보안 설정 권고

(PHP 공식 발표 · 과학기술정보통신부 · 개인정보보호위원회)

문제가 된 취약점은 두 건입니다.

CVE-2026-109618
CVE-2026-109619

두 취약점 모두 국제 보안 취약점 평가체계인 CVSS 4.0에서 10점 만점에 9.2점을 받았습니다. 가장 위험한 ‘치명적(Critical)’ 등급입니다.

보안 취약점은 보통 외부인이 악용할 수 있는 프로그램의 약점을 뜻합니다. 모든 취약점이 서버 전체를 위험하게 만드는 것은 아닙니다.

그런데 이번 문제는 다릅니다.

공격자가 정상적인 로그인 절차를 거치지 않고도 서버에서 프로그램을 실행할 가능성이 확인됐기 때문입니다.

정부가 기업과 기관에 즉각적인 보안 업데이트를 요구한 이유가 여기에 있습니다.

PHP가 무엇이기에 로그인 없이 서버가 뚫릴 수 있을까?

정상적인 웹사이트 접속과 PHP 취약점을 이용한 비정상 서버 접근의 차이를 설명한 인포그래픽

PHP는 웹사이트가 실제로 작동하도록 돕는 프로그래밍 언어입니다.

우리가 인터넷 쇼핑몰에 로그인하거나, 게시글을 작성하거나, 회원정보를 조회할 때 서버 뒤편에서는 여러 프로그램이 움직입니다. PHP는 이런 작업에 널리 사용됩니다.

대표적으로 워드프레스와 같은 홈페이지 제작 도구도 PHP를 기반으로 작동합니다.

평소에는 어떤 식으로 움직일까?

인터넷 쇼핑몰을 예로 들어보겠습니다.

고객이 로그인하면 서버는 아이디와 비밀번호를 확인하고, 정상적인 사용자에게 허용된 기능을 실행합니다.

관리자만 사용할 수 있는 기능이라면 별도의 권한 확인도 필요합니다.

그런데 이번 취약점은 로그인 화면의 비밀번호를 알아내는 문제가 아니라 PHP 프로그램이 인터넷 요청을 처리하는 과정에서 발생한 결함입니다.

PHP 내부의 메모리 관리와 요청 처리 과정에 문제가 있어 특정 조건에서 외부 공격자가 악성 코드를 실행할 가능성이 확인된 것입니다. (PHP 개발팀 공식 보안 공지)

‘로그인 없이 서버를 뚫는다’는 뜻

건물에 출입하려면 정문에서 신분증을 확인해야 한다고 생각해 보겠습니다.

일반적인 로그인 공격은 다른 사람의 출입증을 훔치거나 비밀번호를 알아내려는 시도에 가깝습니다.

이번 PHP2Shell 문제는 조금 다릅니다.

정문에서 출입증을 확인하는 절차와 별개로, 건물의 설비 자체에 문제가 생겨 외부인이 통제 기능에 영향을 줄 수 있는 상황과 비슷합니다.

즉, 웹사이트에 로그인하지 않은 공격자라도 취약한 PHP 환경을 이용해 서버에서 명령을 실행할 위험이 있다는 뜻입니다.

공격에 성공한다면 서버에 악성 프로그램을 설치하거나 홈페이지 내용을 바꾸는 행위도 가능해질 수 있습니다.

다만 취약점이 존재한다고 해서 모든 서버가 자동으로 해킹되는 것은 아닙니다. 실제 공격 성공 여부는 서버의 상태와 보안조치 등에 따라 달라집니다.

그럼 내가 가입한 사이트의 개인정보도 이미 유출됐을까?

웹사이트 서버와 고객 개인정보 데이터베이스의 연결 구조 및 정보 유출 가능성을 설명한 인포그래픽

현재까지 알려진 PHP 보안 취약점만으로 내 개인정보가 이미 유출됐다고 판단할 수는 없습니다.

하지만 개인정보가 위험해질 가능성은 분명히 존재합니다.

이 차이를 구분하는 것이 중요합니다.

서버가 해킹당하면 개인정보는 어떻게 위험해질까?

쇼핑몰에는 고객의 이름과 연락처, 배송지 등의 정보가 저장돼 있습니다. 이런 정보는 일반적으로 데이터베이스(DB)라는 별도의 저장 공간에서 관리합니다.

PHP를 사용하는 웹서버는 고객이 요청한 기능을 처리하기 위해 이 데이터베이스와 연결될 수 있습니다.

문제는 해커가 웹서버를 장악했을 때입니다.

서버에서 실행되는 프로그램이 데이터베이스에 접근할 권한까지 가지고 있다면, 공격자가 그 권한을 악용해 고객정보를 조회하거나 외부로 빼낼 가능성이 있습니다.

개인정보보호위원회도 10월 22일 이번 취약점에 따른 정보 유출 위험을 경고했습니다.

특히 데이터베이스 관리 도구인 phpMyAdmin 등이 외부에 노출돼 있거나, 데이터베이스 접근권한이 지나치게 넓게 설정된 환경을 주의해야 한다고 밝혔습니다. (개인정보보호위원회)

국내 취약 서버 11만 건이라는 숫자의 의미

국내에서 취약한 버전의 PHP가 설치된 것으로 추정되는 인터넷 자산은 약 11만 건이라는 보도가 나왔습니다. (연합뉴스)

이 숫자를 보고 놀랄 수 있습니다.

하지만 11만 건이 실제 해킹 피해를 입었다는 뜻은 아닙니다.

취약한 소프트웨어가 설치됐을 가능성이 있는 자산의 추정 규모와, 실제 공격에 성공해 개인정보를 유출한 피해 규모는 전혀 다른 개념입니다.

구분	실제 의미
취약한 서버	공격에 악용될 수 있는 보안 결함이 존재하는 시스템
공격 시도	해커가 취약점을 이용하려고 접근한 정황
서버 침해	공격자가 실제로 서버에 무단 접근하거나 명령을 실행한 상태
개인정보 유출	저장된 개인정보가 무단으로 외부에 노출되거나 반출된 상태

10월 22일 연합뉴스 보도 당시 국내에서 이번 취약점과 관련해 접수된 실제 침해 피해는 확인되지 않았습니다. 다만 해외 보안업계에서는 공격 시도가 관측됐습니다. (연합뉴스)

따라서 지나치게 불안해할 필요는 없지만, 앞으로 개별 기업의 침해 조사 결과나 개인정보 유출 공지가 나오는지는 살펴봐야 합니다.

워드프레스나 인터넷 쇼핑몰 운영자는 어떻게 해야 할까?

PHP 보안 취약점 해결에 필요한 버전별 보안 업데이트 기준을 정리한 인포그래픽

홈페이지 운영자에게 가장 시급한 조치는 취약한 PHP를 보안 수정 버전으로 업데이트하고, 이전에 침해가 발생했는지도 점검하는 것입니다.

PHP 개발팀은 10월 21일 긴급 업데이트를 공개했습니다.

한국인터넷진흥원(KISA)도 영향을 받는 버전과 해결 버전을 공식 안내했습니다.

사용 중인 PHP 계열	보안 수정 버전
PHP 8.2	8.2.35 이상
PHP 8.3	8.3.36 이상
PHP 8.4	8.4.27 이상
PHP 8.5	8.5.12 이상

(KISA 보호나라)

PHP 8.1 이하 구버전은 공식 보안 지원이 종료된 상태이므로 지원 중인 버전으로 전환하는 것이 권장됩니다. 일부 운영체제나 장기지원 업체가 별도의 수정 패키지를 제공할 수 있지만, 단순히 오래된 버전을 그대로 유지하는 것은 위험합니다.

워드프레스 업데이트만 하면 해결될까?

아닙니다.

이번 취약점은 워드프레스의 게시글 작성 기능이나 특정 테마에서 발견된 문제가 아닙니다.

워드프레스가 실행되는 기반 프로그램인 PHP 자체의 취약점입니다.

따라서 워드프레스 프로그램이나 플러그인을 최신 상태로 바꿨더라도, 서버에서 사용 중인 PHP에 이번 보안 패치가 적용되지 않았다면 위험이 남을 수 있습니다.

워드프레스 관리자는 다음 경로에서 PHP 버전을 확인할 수 있습니다.

워드프레스 관리자 화면 → 도구 → 사이트 건강 → 정보 → 서버 → PHP 버전

단, 여기 표시되는 버전은 점검의 출발점입니다. 운영체제나 호스팅 업체가 별도의 보안 수정 패치를 적용한 경우에는 숫자만으로 판단하기 어려울 수 있으므로 업체의 안내도 함께 확인해야 합니다. (WordPress 공식 문서)

카페24나 가비아 같은 호스팅 업체를 이용한다면 서버의 PHP를 업체가 직접 관리하는 경우도 있습니다.

이런 환경에서는 자신이 서버를 직접 수정하려고 하기보다 호스팅 업체에 이번 취약점의 조치 여부를 문의하는 것이 안전합니다.

홈페이지가 정상적으로 열린다면 안전한 것 아닐까?

그렇지 않습니다.

보안 취약점은 홈페이지가 정상적으로 작동하는 상태에서도 존재할 수 있습니다.

화면이 잘 보이고 회원 로그인도 된다는 사실만으로 서버가 안전하다고 판단해서는 안 됩니다.

특히 쇼핑몰이나 회원제 홈페이지처럼 고객정보를 저장하는 서비스를 운영한다면 보안 업데이트와 함께 침해 흔적까지 확인해야 합니다.

보안 패치를 설치하면 해킹 위험은 완전히 사라질까?

보안 패치는 이번에 공개된 치명적 취약점을 해결하기 위한 핵심 조치입니다. 그러나 패치를 적용하기 전에 이미 공격을 받았는지까지 자동으로 확인해 주는 것은 아닙니다.

이것은 고장 난 출입문을 수리하는 것과 비슷합니다.

문을 고쳤다고 해서 수리 전에 누군가 몰래 들어왔는지까지 확인된 것은 아닙니다.

따라서 홈페이지 운영자는 접근기록과 비정상적인 파일 변경, 관리자 계정의 이상 활동 등을 함께 살펴봐야 합니다.

한국인터넷진흥원은 10월 22일 별도의 기업 대응 수칙을 공개하며 PHP 사용 현황 확인, 긴급 보안조치, 호스팅 업체를 통한 조치 확인 등을 권고했습니다. (KISA 기업 보안 대응 수칙)

10월 23일 추가된 PHP 보안 권고도 있다

여기서 한 가지 더 확인할 내용이 있습니다.

PHP 개발팀은 10월 23일 파일 업로드 진행 상황을 관리하는 기능과 관련해 추가 보안 권고를 발표했습니다.

session.upload_progress.enabled=0

서버 운영자가 사용하는 설정으로, 해당 기능을 비활성화하라는 뜻입니다.

PHP 개발팀은 특정 조건에서 발생할 가능성이 낮은 원격 코드 실행 위험을 막기 위해 다음 정기 수정 버전이 나오기 전까지 이 설정을 적용할 것을 권고했습니다.

이미 이 설정을 적용했다면 유지하면 됩니다. 다만 이 설정은 21일 공개된 두 취약점 전체를 대신 해결하는 방법이 아니며, 기존 보안 업데이트도 반드시 필요합니다. (PHP 공식 홈페이지)

서버 설정을 직접 변경할 권한이나 전문지식이 없는 운영자는 호스팅 업체의 안내를 받는 것이 좋습니다.

또한 개인정보를 관리하는 사업자라면 데이터베이스 관리 페이지의 외부 접근을 제한하고, 업무에 꼭 필요한 계정에만 개인정보 접근권한을 부여하는 조치도 필요합니다.

일반 인터넷 이용자는 지금 무엇을 해야 할까?

PHP 보안 사고에 대응하는 일반 이용자와 홈페이지 운영자의 행동 차이를 설명한 인포그래픽

일반 이용자가 직접 PHP 프로그램을 업데이트할 필요는 없습니다. 그 작업은 웹사이트와 서버를 관리하는 운영자의 책임입니다.

그렇다고 이용자가 아무것도 신경 쓰지 않아도 된다는 뜻은 아닙니다.

이번 사건을 계기로 평소 사용하는 인터넷 계정의 보안을 점검해 볼 필요가 있습니다.

첫째, 같은 비밀번호를 여러 사이트에서 쓰고 있지 않은가?

하나의 사이트에서 계정정보가 유출됐을 경우 같은 비밀번호를 사용하는 다른 사이트까지 위험해질 수 있습니다.

따라서 인터넷 쇼핑몰이나 이메일, 금융서비스 등의 비밀번호를 서로 다르게 설정하는 것이 좋습니다.

이번 PHP 취약점 때문에 모든 비밀번호가 유출됐다고 볼 근거는 없으므로 무조건 전체 계정의 비밀번호를 바꿀 필요는 없습니다. 다만 실제 유출 통보를 받았거나 의심스러운 로그인 흔적이 있다면 해당 계정의 비밀번호를 즉시 변경해야 합니다.

둘째, 이중 인증을 사용하고 있는가?

이중 인증은 비밀번호 외에 추가적인 본인 확인 절차를 요구하는 방식입니다.

비밀번호가 유출되더라도 공격자가 계정을 쉽게 탈취하지 못하도록 돕습니다.

이메일과 주요 인터넷 서비스에서 이중 인증을 지원한다면 활성화해 두는 것이 좋습니다.

셋째, ‘개인정보 유출 확인’ 문자를 받으면 어떻게 해야 할까?

보안 사고가 큰 뉴스가 되면 이를 악용한 사칭 문자나 피싱 시도도 경계해야 합니다.

가령 ‘계정 보안 확인’, ‘유출 피해 보상’, ‘긴급 보안 업데이트’라는 문구와 함께 낯선 인터넷 주소를 보내는 경우입니다.

이때는 문자 속 링크를 바로 누르지 말고, 해당 업체의 공식 홈페이지나 앱에 직접 접속해 안내가 있는지 확인하는 편이 안전합니다.

이용자와 운영자가 해야 할 일은 다르다

구분	우선 확인할 내용
일반 이용자	비밀번호 재사용 여부, 이중 인증, 유출 공지
홈페이지 운영자	PHP 보안 패치, 관리자 계정, 침해 기록
쇼핑몰·회원제 서비스	고객정보 DB 접근권한, 비정상적인 정보 조회
호스팅 업체	서버 패치 적용, 서비스별 영향 확인

혹시 이번 취약점과 관련해 실제 개인정보 유출 사실을 확인했다면, 서버 복구뿐 아니라 영향을 받은 개인정보의 범위와 이용자 보호조치까지 살펴봐야 합니다.

보안 취약점을 발견한 것과 실제 고객정보가 유출된 것은 구분하되, 피해가 확인될 경우에는 적절한 후속 대응이 필요합니다.

[결론] 이 뉴스, 이렇게 이해하면 됩니다

2026년 10월 22일 정부가 사이버위기 경보를 ‘주의’로 높인 것은 PHP 프로그램에서 발견된 두 가지 치명적 보안 취약점 때문입니다.

이번 취약점은 공격자가 로그인 절차 없이도 특정 조건에서 웹서버에 악성 명령을 실행할 수 있다는 점에서 위험합니다.

만약 서버가 실제로 침해되고 개인정보 데이터베이스까지 공격자의 접근을 허용한다면 고객정보 유출로 이어질 수 있습니다.

다만 PHP 취약점이 발견됐다는 사실과 내 개인정보가 실제로 유출됐다는 사실은 다릅니다.

국내에서 취약한 인터넷 자산이 약 11만 건으로 추정된다는 보도 역시 실제 해킹 피해가 그만큼 발생했다는 의미는 아닙니다.

일반 이용자는 계정 보안과 공식 유출 공지를 확인하면 됩니다. 반면 홈페이지 운영자와 호스팅 업체에는 즉각적인 PHP 보안 업데이트와 침해 여부 점검이 필요합니다.

인터넷은 수많은 프로그램이 서로 연결돼 움직입니다. 우리가 보는 화면이 멀쩡하더라도 그 뒤에서 작동하는 프로그램에 보안 문제가 있을 수 있습니다.

이번 사건은 인터넷 보안에서 중요한 것은 비밀번호를 지키는 일뿐 아니라, 서비스를 운영하는 프로그램 자체를 안전하게 관리하는 일이라는 사실을 보여줍니다.

PHP 보안 취약점, 핵심 질문으로 한눈에 정리

Q. PHP2Shell은 어떤 해킹 취약점인가요?

PHP 프로그램에서 발견된 심각한 보안 결함입니다. 취약한 서버에 대해 공격자가 로그인 없이 원격에서 악성 코드를 실행할 수 있는 위험이 있습니다.

Q. 이번 PHP 보안 취약점은 언제 공개됐나요?

PHP 개발팀이 2026년 10월 21일 치명적 취약점 2건을 공개하고 긴급 보안 업데이트를 배포했습니다. 한국 정부는 10월 22일 정오에 민간 분야 사이버위기 경보를 ‘주의’로 높였습니다.

Q. 국내 서버 11만 건이 해킹당했다는 뜻인가요?

아닙니다. 약 11만 건은 취약한 버전의 PHP가 설치된 것으로 추정되는 인터넷 자산 규모입니다. 실제 해킹 피해 건수와는 다릅니다.

Q. PHP 취약점으로 내 이름이나 비밀번호가 유출될 수 있나요?

가능성은 있습니다. 공격자가 서버를 침해하고 개인정보가 저장된 데이터베이스에 접근한다면 정보 유출로 이어질 수 있습니다. 그러나 이번 취약점의 존재만으로 실제 유출을 단정할 수는 없습니다.

Q. 워드프레스도 PHP2Shell의 영향을 받나요?

취약한 PHP 버전에서 실행되는 워드프레스 사이트라면 영향을 받을 수 있습니다. 워드프레스 자체의 업데이트와 별도로 서버의 PHP 보안 패치 여부를 확인해야 합니다.

Q. PHP 8.3을 사용한다면 어느 버전으로 업데이트해야 하나요?

이번 취약점에 대한 공식 보안 수정 버전은 PHP 8.3.36입니다. 다만 운영체제나 호스팅 업체가 별도 보안 패치를 제공하는 경우에는 해당 업체의 조치 안내를 함께 확인해야 합니다.

Q. PHP 8.1 이하 버전은 어떻게 해야 하나요?

공식 보안 지원이 종료됐으므로 지원 중인 버전으로 전환하는 것이 권장됩니다. 기존 홈페이지와의 호환성도 함께 점검해야 합니다.

Q. PHP를 업데이트하면 이미 발생한 해킹도 해결되나요?

아닙니다. 업데이트는 취약점을 수정하는 조치입니다. 패치 전에 침해가 발생했는지 여부는 서버 기록과 악성 파일 등을 별도로 점검해야 합니다.

Q. 일반 이용자도 지금 비밀번호를 모두 변경해야 하나요?

이번 취약점 뉴스만으로 모든 비밀번호를 변경해야 하는 것은 아닙니다. 다만 실제 개인정보 유출 사실을 통보받거나 계정 침해가 의심된다면 비밀번호를 변경하고 이중 인증을 점검하는 것이 좋습니다.

오늘 뉴알남이 풀어드린 이슈, 이해에 도움이 되셨나요? 🙂 앞으로도 뉴스 속 궁금증을 쉽고 명쾌하게 풀어드리기 위해 노력하겠습니다!

주요 출처