[국내보안뉴스] PHP 취약점 경보 발령에도 공공기관 대응은 '안개 속'…실태 파악 및 점검 강화 시급
· 2026-10-23 09:00
· 조회 11
· 원문 ↗
최근 국정감사에서 한국인터넷진흥원(KISA)의 고위험 PHP 취약점 대응 방식에 대한 지적이 제기되었습니다. 더불어민주당 한준호 의원에 따르면, 정부가 긴급 보안 경보를 발령했음에도 불구하고 실제 공공기관 내 취약한 PHP 버전 사용 현황이나 보안 패치 완료 여부에 대한 사후 파악이 미흡한 것으로 나타났습니다. 이는 보안 경보 발령에만 그치고 실질적인 이행 점검으로 이어지지 못하는 관리 체계의 허점을 보여줍니다.
이번에 문제가 된 'PHP2Shell' 취약점(CVE-2026-109618, CVE-2026-109619)은 공격자가 별도의 로그인이나 인증 절차 없이 원격에서 웹서버로 악성 명령을 실행할 수 있는 고위험 보안 결함입니다. 공격자가 취약한 웹서버의 권한을 획득하여 완전히 장악할 수 있어, 공공기관 웹사이트나 내부 시스템이 이에 노출될 경우 주요 공공 데이터 유출, 웹사이트 변조, 내부망 침투의 거점으로 악용될 위험이 매우 큽니다.
따라서 공공기관을 비롯한 모든 웹 서비스 운영 조직은 단순히 경보문 확인에 그치지 않고, 자사 인프라 내 PHP 버전 현황을 신속히 전수 조사해야 합니다. 취약점이 존재하는 버전을 사용 중이라면 제조사가 제공하는 최신 보안 버전으로 즉시 패치를 적용해야 하며, 패치가 불가능한 환경에서는 웹방화벽(WAF) 규칙 추가 등 임시 완화 조치를 취해야 합니다. 또한 정부 차원에서도 보안 권고 이후 실제 패치 이행률을 관리하고 감독할 수 있는 구체적인 점검 프로세스 수립이 시급합니다.
♥ 추천 0
인증 없는 RCE(원격 코드 실행) 취약점은 백엔드 방어 로직을 완전히 무력화하여 서버 제어권을 즉시 넘겨주는 최악의 보안 결함입니다.
즉각적인 PHP 런타임 버전 업그레이드가 최선이지만, 시스템 여건상 신속한 패치가 어렵다면 WAF(웹방화벽) 규칙 적용 등 임시 완화 조치(Mitigation)라도 즉시 반영해야 합니다.
공공기관의 보안 수동 점검은 한계가 명확하므로, 중앙 집중형 의존성(Dependency) 관리 및 CI/CD 기반의 핫픽스 배포 파이프라인 체계로 아키텍처를 개선해야 합니다.
인증 절차 없이 즉시 서버 제어권을 획득하는 Pre-Auth RCE 취약점은 레드팀이나 실제 공격자 입장에서 가장 선호하는 최상의 최초 침투(Initial Access) 벡터입니다.
공공기관의 실제 패치 여부가 불투명하다는 것은 자동화된 스캐너나 APT 그룹의 웹셸(Webshell) 침투에 무방비로 노출되어 있음을 의미합니다.
신속한 현황 파악과 패치가 이루어지지 않는다면, 단순 웹서버 장악을 넘어 내부망 전체를 위협하는 측면 이동(Lateral Movement)의 교두보로 악용될 위험이 매우 높습니다.
보안 경보 발령은 대응의 시작일 뿐이며, 결국 핵심은 '실시간 자산 가시성 확보'와 '패치 이행의 검증'에 있습니다. 미인증 원격코드실행(RCE)과 같은 고위험 취약점은 단 한 대의 미패치 시스템만으로도 전체 네트워크 침해로 이어질 수 있어 실질적인 전수 조사와 이행 점검이 필수적입니다. 위협 정보를 수신하는 것에 그치지 않고 자산 식별부터 최종 조치 확인까지 추적·관리하는 강력한 보안 거버넌스 체계를 재정비해야 합니다.