PHP 취약점에 '주의' 경보와 계열별 긴급 패치 — 같은 날 법원 전산 장애는 별도로 원인 확인이 필요하다
과학기술정보통신부와 한국인터넷진흥원(KISA)은 웹 프로그래밍 언어 PHP에서 로그인 없이 외부에서 서버에 명령을 실행할 수 있는 치명적 취약점 2건(CVE-2026-109618, CVE-2026-109619)이 발견됐다며 22일 12시부로 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 올렸다. 해결 버전은 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상이다. 복수 언론은 같은 날 오후 약 3시 50분부터 6시 무렵까지 법원 재판사무시스템과 대국민 서비스 일부에 장애가 있었다고 보도했다. 법원 공식 장애 공지와 원인 보고서는 이번에 확보하지 못했다. 법원은 PHP 해킹과 무관하다고 설명한 것으로 보도됐다.
두 사건은 시간이 겹친다. 경보 상향은 낮 12시, 법원 장애는 오후 4시 무렵이다. 그러나 둘을 잇는 기술적 자료는 확보한 어디에도 없다. 법원 측은 PHP 해킹과 무관하다고 설명한 것으로 4개 매체가 전했다. 그 설명의 근거 문서와 장애 공지 원본은 확보하지 못했다. 그래서 이 기사는 두 사건을 연결하지 않는다. 장애 원인은 법원이 문서로 밝혀야 할 별도의 문제로 다룬다. 독자에게 더 급한 것은 PHP 쪽이다. 정부 보도자료 붙임과 KISA 권고문은 계열별 해결 버전, 재시작, 구버전 임시 조치, 침해 의심 시 증거 보존 순서까지 구체적으로 적었다. 또 하나, 기사마다 다른 '피해 규모' 숫자는 서로 다른 통계다. 정부가 긴급 전파한 기업 수도 피해 서버 수가 아니다.
근거: 원문 대조 ↓IN ENGLISHSeoul raised its private-sector cyber-threat level to "caution" at noon on Oct. 22 over two critical PHP flaws (CVE-2026-109618, CVE-2026-109619; CVSS v4 9.2) that allow unauthenticated remote command execution. Fixed versions are 8.2.35, 8.3.36, 8.4.27 and 8.5.12 or later; services must be restarted, and suspected breaches should be preserved as evidence before any update or restart. That afternoon parts of the courts' systems went down for about two hours; court officials were reported as saying it was unrelated to PHP hacking. We found no material linking the two.
해결 버전
KISA 10/21 권고문 · 과기정통부 보도자료표는 좌우로 넘겨 볼 수 있습니다.
| 계열 | 영향 버전 | 해결 버전 |
|---|---|---|
| 8.2 | 8.2.35 미만 | 8.2.35 이상 |
| 8.3 | 8.3.36 미만 | 8.3.36 이상 |
| 8.4 | 8.4.27 미만 | 8.4.27 이상 |
| 8.5 | 8.5.12 미만 | 8.5.12 이상 |
PHP 공식 보안 권고도 두 취약점을 Critical, CVSS v4 9.2로 적었다. 리눅스 배포판·제조사 패키지는 보안 패치를 적용해도 버전 번호가 바뀌지 않을 수 있다. 그래서 패키지 변경 이력에서 CVE 반영 여부를 확인하라고 정부 붙임은 적었다.
정부가 권고한 순서
보도자료 붙임 「기업 보안 대응 수칙」표는 좌우로 넘겨 볼 수 있습니다.
| 상황 | 권고 |
|---|---|
| 패치 | 해결 버전으로 업데이트 후 PHP를 실행하는 모든 웹 서비스(PHP-FPM, Apache mod_php 등)를 재시작. 재시작하지 않으면 메모리에 남은 이전 버전이 계속 동작 |
| 8.1 이하 | 공식 업데이트가 없어 지원 버전으로 전환. 전환에 시간이 걸리면 배포판·장기지원(LTS) 업체 패치나 PHP 보안팀이 공개한 7.4·8.0·8.1용 소스 패치를 임시 적용하고 전환 계획 수립 |
| 침해 의심 | ① 격리(서버를 끄거나 재시작하지 말고 외부 접속만 차단) → 신고 → ③ 증거 확보(로그·실행 프로그램·네트워크 연결) → ④ 업데이트·재시작, 웹셸 제거, 인증정보 교체 |
| 소상공인 | 호스팅 업체에 보안 업데이트 적용 여부 확인 |
| 일반 국민 | 직접 조치할 사항 없음. '공격 시험 코드(PoC)'라며 도는 파일은 내려받거나 실행하지 말 것 |
정부는 CISO 신고기업 약 2만 8천 곳, 주요정보통신기반시설 111곳, ISMS 인증기업 1,068곳 등에 긴급 전파했다고 밝혔다. 전파 대상 수이지 피해 서버 수가 아니다. 경보 발령과 실제 국내 피해 발생도 별개다.
'몇 대가 위험한가' — 세 숫자는 다른 통계다
표는 좌우로 넘겨 볼 수 있습니다.
| 숫자 | 집계 주체·기준 | 무엇을 셌나 |
|---|---|---|
| 11만 2,183개 | 안랩(기사 인용) | 국내 취약 호스트(세계의 4.35%) |
| 2만 4,591대(82%) | 시벨앙젤, Shodan 10/20 기준(기사 인용) | 버전이 식별된 국내 서버 중 PHP 8.1 이하 |
| 10대 중 9대(89%) | 말로리, Shodan 10/21 기준(머니투데이 단독) | 버전이 보이는 국내 서버 5만 6,423대 중 PHP 8.1 이하 |
세 숫자는 모수와 기준일이 다르다. 모두 민간 집계이고, 공식 국내 집계는 확보하지 못했다. 머니투데이 제목의 '업데이트 불가'는 지원이 끝난 버전을 쓴다는 뜻을 요약한 말이다. 정부 붙임에 따르면 8.1 이하도 임시 소스 패치는 가능하다.
법원 장애, 확인된 것과 아닌 것
표는 좌우로 넘겨 볼 수 있습니다.
| 항목 | 상태 |
|---|---|
| 날짜·시간 | 10월 22일(목) 오후 약 15:50 시작, 약 18:00 복구(머니투데이·아주경제·서울신문) |
| 범위 | 재판사무시스템·대국민 서비스 일부(보도) |
| 원인 설명 | 여러 매체는 "파악 중"이라고 전했다. 매일신문은 법원행정처를 인용해 외부 해킹이 아니고 사용량 증가로 접속이 잠깐 제한된 것으로 파악했다고 전했다 |
| 'PHP 해킹과 무관' | 법원 측 설명 보도 4건. 발언 주체 표기는 대법원·법원행정처·대법원 관계자로 매체마다 다름 |
| 공식 공지·원인 보고서 | 확보 못 함 |
행정안전부는 소관 정보시스템 217개(정부24·지방세 등)가 PHP 기반이 아니라고 밝혔다(경향신문 23일 보도). 법원 시스템에 대한 같은 설명은 확보하지 못했다.
홈페이지를 운영한다면
쇼핑몰이나 게시판을 직접 운영하면 실제 웹 서비스에 적용된 PHP 버전부터 확인해야 한다. 해결 버전으로 올린 뒤에는 반드시 재시작한다. 8.1 이하라면 지원 버전으로 옮기고, 그 사이에는 임시 패치를 쓸 수 있다. 다만 이미 침해가 의심된다면 순서가 다르다. 서버를 끄거나 재시작하지 말고 외부 접속만 막은 뒤, 신고하고 기록을 보존한 다음에 업데이트한다. 재시작하면 메모리에 남은 흔적이 사라지기 때문이다. 호스팅을 쓰는 소상공인은 업체에 적용 여부를 물으면 된다. 일반 이용자가 이 서버 취약점을 직접 패치할 일은 없다. 과기정통부는 백신 설치와 최신 보안 업데이트 등 기본 수칙은 계속 지키라고 안내했다.
답이 나오려면 필요한 문서
- 법원 장애의 원인은 무엇이었나.법원행정처 공식 공지 또는 사후 보고.
- '무관'의 근거는 무엇인가.법원 시스템 구성과 분석 결과.
- 국내 취약 서버는 실제로 몇 대인가.KISA 등 공식 집계.
- 시간이 겹친다고 원인이 이어지지는 않는다. 두 사건을 잇는 자료는 확인되지 않았다.
- 11만, 2.4만, 89%는 서로 다른 질문의 답이다. 근거: 집계 주체·모수
- 침해가 의심되면 패치보다 증거 보존이 먼저다. 근거: 정부 붙임
방법: 정책브리핑 과기정통부 정책뉴스(이제 직접 열람), 과기정통부 보도자료 본문·붙임(ODT)과 KISA 권고문 10/21·10/22, PHP 공식 보안 권고, 기사 본문 20건. 법원행정처 공지와 원인 보고서, 공식 국내 영향 집계는 확보하지 못했다.
같은 날의 두 사건, 따로 설명돼야 한다
경보가 오른 날 법원 전산망이 멈췄다. 법원은 PHP 해킹과 무관하다고 설명한 것으로 전해졌고, 두 사건을 잇는 자료는 확인되지 않았다.
그래도 법원은 재판과 국민의 권리를 다루는 기관이다. 두 시간 멈춘 이유는 그것대로 문서로 설명돼야 한다. 그리고 홈페이지를 운영하는 이들에게는 오늘 정부가 낸 대응 순서가 가장 쓸모 있는 정보다.