웹 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견돼 당국이 긴급 대응을 요구했다. 정부의 공식 경고 이후에도 보안 조치를 미루다 대량 유출 사고가 발생하면, 기업은 개인정보 보호법상 안전조치 의무 위반에 따른 무거운 과징금과 손해배상 책임을 피하기 어려울 전망이다.
개인정보보호위원회는 2026년 10월 22일 공공기관과 민간기업 등 웹서비스를 운영하는 개인정보처리자를 대상으로 PHP 보안 취약점 예방을 위한 긴급 조치를 권고했다. 10월 21일 공개된 취약점(별칭 'PHP2Shell')은 공격자가 웹사이트 로그인이나 별도 인증 절차 없이 원격에서 악성 명령을 실행할 수 있는 원격 코드 실행(RCE) 결함이다. 취약점 평가 기준(CVSS v4.0) 점수는 9.2점(치명적·Critical)을 기록했다.
개인정보위는 기업과 기관에 4대 긴급 보호조치를 주문했다. 운영 중인 PHP 버전을 확인해 공식 보안 패치를 즉시 적용하고 미사용 웹서비스를 삭제해야 한다. 'phpMyAdmin' 등 데이터베이스(DB) 관리 도구가 인터넷에 직접 노출되지 않도록 외부 접근을 차단하고, 웹서비스 계정의 DB 접근 권한을 업무상 필요한 최소 수준으로 낮추도록 했다. 비정상적인 개인정보 대량 조회나 반출 이력을 점검하는 한편 외주 개발·운영 시스템과 수탁업체, 웹호스팅 등 위탁 환경의 보안 조치 이행 여부도 전수 점검 대상이다.
이번 취약점은 웹서버 관리자 권한 탈취에 그치지 않고 후방 DB에 보관된 대규모 회원 정보 유출로 직결될 수 있다. 국내 인터넷 환경에서 패치 전 취약한 PHP 버전이 설치된 서버 자산은 약 11만 건으로 파악됐다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 사이버 위기 경보를 '주의' 단계로 격상했고, 정보보호최고책임자(CISO) 신고 대상 기업 2만8,000여 곳과 주요 정보통신기반시설에 긴급 조치를 통보했다.
양청삼 개인정보위 사무처장은 "이번 취약점은 홈페이지 자체의 침해에 그치지 않고, 이와 연결된 데이터베이스에 저장된 다수 이용자의 개인정보가 유출되는 등 대규모 피해로 이어질 우려가 있다"며 "보안 업데이트와 함께 의심스러운 접속 점검 등 관리 체계를 강화하여 국민의 개인정보가 유출되지 않도록 각별히 주의해야 한다"고 당부했다.
법조계에서는 정부의 긴급 경고가 공식 하달된 시점 이후 발생한 사고를 두고 면책을 주장하기는 극히 어려워졌다고 분석한다. 개인정보 보호법 제29조와 시행령 제30조는 개인정보처리자에게 불법 접근을 차단하고 보안 프로그램을 설치·운영하는 기술적·관리적 안전조치 의무를 부과한다. 취약점 패치 지연이나 과도한 DB 권한 방치로 유출이 발생하면, 같은 법 제64조의2에 따라 전체 매출액의 100분의 3 이하에 해당하는 과징금이 부과될 수 있다.
민사상 손해배상 책임도 무겁다. 개인정보 보호법 제39조에 따라 고의나 중대한 과실이 인정되면 손해액의 최대 5배까지 물어내는 징벌적 손해배상 책임을 질 수 있다. 수탁업체의 취약점을 방치했을 때는 법 제26조의 수탁자 관리·감독 의무 위반도 문제된다. 기업 법무팀과 정보보호 부서는 PHP 엔진 버전 업그레이드뿐만 아니라 최근 DB 대량 쿼리 로그를 대조해 침해 여부를 선제적으로 확인해야 한다.
