“로그인 없이 DB 털린다”…PHP 보안 구멍에 긴급 경고

공격자가 로그인이나 인증 없이도 웹서버를 장악해 내부 데이터베이스(DB)까지 침투할 수 있는 치명적 보안 취약점이 발견돼 정부가 긴급 대응을 당부했다. 취약점을 방치했다가 대량 개인정보 유출 사고로 이어지면 현행법상 막대한 과징금 처분을 피하기 어려울 전망이다.

개인정보보호위원회는 2026년 10월 22일 최근 공개된 웹 개발 언어 PHP 보안 취약점과 관련해 공공기관과 민간기업 등 모든 개인정보처리자에게 개인정보 유출 예방을 위한 긴급 보호조치를 당부했다.

이번에 드러난 취약점은 지난 10월 21일 발표된 'PHP2Shell'이다. 원격에서 인증 절차 없이 임의의 악성 명령을 실행(RCE)할 수 있는 보안 결함으로, 공통 취약점 평가 시스템(CVSS) 점수 9.2의 치명적(Critical) 등급에 해당한다. 취약점 식별번호는 부적절한 예외 상황 처리 결함(CVE-2026-109618)과 메모리 해제 후 재사용 결함(CVE-2026-109619)이다.

PHP는 전 세계 웹사이트의 70% 이상에서 사용하는 핵심 개발 도구다. 공격자가 웹서버 침해에 그치지 않고 연계된 데이터베이스까지 침투할 수 있어 보관 중인 개인정보가 대규모로 탈취될 위험이 크다.

개인정보위는 웹 서비스를 운영하는 개인정보처리자에게 4대 긴급 보호조치 이행을 요구했다. 먼저 PHP 사용 시스템의 버전을 확인해 최신 보안 패치를 적용하고 불필요한 웹 서비스를 삭제해야 한다. 영향 소프트웨어는 PHP 8.2(8.2.35 미만), 8.3(8.3.36 미만), 8.4(8.4.27 미만), 8.5(8.5.12 미만) 버전이며, 기술 지원이 끝난 PHP 8.1 이하는 상위 버전으로 업그레이드해야 한다.

이어 'phpMyAdmin' 같은 PHP 기반 DB 관리도구의 인터넷 직접 접근을 제한하고 최신 업데이트와 설정 정리를 마쳐야 한다. 특히 웹 서비스 계정이 보유한 개인정보 DB 접근 권한을 최소화해야 한다. 개인정보 DB의 대량 조회나 반출 등 비정상적 접근 기록을 면밀히 점검하고 이상 행위 차단 체계도 갖춰야 한다. 외주 개발·운영 시스템, 수탁업체, 웹 호스팅 환경에서 구동되는 PHP 소프트웨어까지 사각지대 없이 점검해야 한다.

양청삼 개인정보위 사무처장은 “이번 취약점은 홈페이지 자체 침해에 그치지 않고, 이와 연결된 데이터베이스에 저장된 다수 이용자의 개인정보가 유출되는 등 대규모 피해로 이어질 우려가 있다”며 “보안 업데이트와 함께 의심스러운 접속 점검 등 관리 체계를 강화하여 국민의 개인정보가 유출되지 않도록 각별히 주의해야 한다”고 밝혔다.

기업 법무팀과 보안 실무자들의 기민한 대응이 요구된다. 「개인정보 보호법」 제29조는 개인정보처리자에게 악성 프로그램 방지, 비인가 접근 통제 등 기술적·관리적 안전조치의무를 부과하고 있다. 취약점 공지 이후에도 패치를 지연하거나 DB 관리도구를 인터넷망에 노출했다가 유출 사고가 발생하면 법 위반 책임을 면하기 어렵다. 같은 법 제64조의2에 따라 안전조치의무를 소홀히 해 개인정보를 유출당한 기업에는 전체 매출액의 100분의 3 이하에 달하는 과징금이 부과될 수 있다.