PHP 엔진 자체의 결함이라 홈페이지를 잘 만들었어도 소용없습니다. 공개된 공격 코드와 공격 시도가 이미 보고됐습니다.
조작된 요청 하나로 서버에서 임의 명령 실행. 웹셸 설치, 고객정보 유출, 홈페이지 변조, 내부망 침투로 이어집니다.
2012년 이후 거의 모든 PHP. 그누보드·영카트·워드프레스·라이믹스·자체개발 사이트 모두 해당합니다.
공개된 공격 코드로 공격 시도가 이어지고 있습니다. 업데이트만으로 끝나지 않고, 웹서버(PHP-FPM·Apache)를 재시작해야 적용됩니다.
8.5.128.4.278.3.368.2.35
이상 + 웹서버 재시작
PHP 8.1 이하는 공식 패치가 없습니다. 8.2도 2026년 말 지원이 끝나 8.3 이상 이전을 권장합니다. 업데이트 후 웹서버를 재시작하지 않으면 이전 버전이 계속 동작합니다.
공격은 대상을 가리지 않고 인터넷 전역에서 대량으로 시도되고 있습니다(악용 시도 수백만 건, 언론 보도). 국내에서만 취약한 버전의 PHP가 설치된 서버가 약 11만 건으로 추정됩니다(안랩 조사, 패치 배포 전 기준). 정부 긴급 안내는 정보보호최고책임자(CISO) 신고 기업 등 위주로 전달돼, 중소 사업자는 스스로 챙겨야 합니다.
개인정보 유출을 알게 되면 72시간 안에 고객에게 알리고, 해킹으로 인한 유출이면 개인정보보호위원회 또는 KISA에 신고해야 합니다.
유출 신고를 하지 않으면 과태료 대상입니다.
안전조치를 다하지 않아 유출되면 전체 매출액의 3% 이하 과징금이 부과될 수 있습니다.
근거: 「개인정보 보호법」 제34조·제64조의2·제75조, 같은 법 시행령 제39조·제40조 (찾기쉬운 생활법령, 개인정보보호위원회)
정부는 업데이트를 마친 서버도 이상 접속 기록과 웹셸 설치 여부를 따로 점검하라고 권고합니다. 패치 전에 이미 들어온 해커는 패치로 쫓겨나지 않습니다.
출처: KISA 보호나라 · 디지털타임스(과기정통부 발표) · 더팩트 · Help Net Security · Vercel