지난주 "PHP 보안 업데이트를 하세요"라는 안내를 받고 업체에 맡겨 두셨나요? 그런데 사흘 뒤 KISA(한국인터넷진흥원)가 PHP 관련 권고를 또 냈습니다. 이번 권고는 업데이트로 해결되지 않아서, 업데이트를 마친 홈페이지도 한 번 더 확인해야 합니다. 이 글에서는 무슨 일인지, 우리 홈페이지가 해당되는지, 업체에 무엇을 물어야 하는지 정리했습니다.
PHP 임시 조치 권고, 무슨 내용인가요?
PHP에서 새 취약점이 나왔는데 아직 고친 버전이 없어서, 기능 하나를 꺼 두라는 권고입니다.
PHP는 홈페이지 뒤에서 게시판, 회원 가입, 문의 양식 같은 기능을 돌리는 프로그래밍 언어예요. 워드프레스나 그누보드 같은 도구도 PHP로 움직입니다. 그래서 PHP에 문제가 생기면 많은 홈페이지가 함께 영향을 받아요.
이번 일은 열흘 사이에 공지가 네 번 나와서 헷갈리기 쉽습니다. 순서대로 보면 아래와 같아요.
| 날짜(2026년) | 누가 | 내용 |
|---|---|---|
| 10월 21일 | PHP 개발팀 | 심각한 취약점 2건을 고친 보안 업데이트 배포 |
| 10월 22일 | KISA | PHP2Shell 취약점 관련 기업 대응 수칙 공지 |
| 10월 23일 | PHP 개발팀 | 업데이트로 고쳐지지 않은 새 문제 안내 |
| 10월 24일 | KISA | 새 취약점 CVE-2026-115560 임시 조치 권고 |
출처는 KISA 보호나라 임시 조치 권고와 PHP 공식 공지입니다.
한 줄 정리: 10월 21일 업데이트는 끝이 아니었고, 24일 권고까지 챙겨야 합니다.
업데이트를 했는데 왜 또 조치가 필요한가요?
10월 24일 권고된 문제는 21일 업데이트로 고쳐지지 않았고, 고친 버전은 다음 정기 업데이트에 나옵니다.
10월 21일 배포된 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다. KISA 공지에 따르면 이 버전으로는 이번 취약점이 해결되지 않아요. 고친 버전이 나오기 전까지 할 수 있는 일은 임시 조치뿐입니다.
임시 조치는 부품이 아직 안 나온 고장 난 문을 테이프로 막아 두는 것과 비슷해요. 문을 고친 건 아니지만, 그사이 누가 들어오지 못하게 막는 거죠. 이번에는 "세션 업로드 진행률"이라는 설정을 꺼 두는 것이 그 테이프입니다.
알아두면 좋은 용어
| 용어 | 쉬운 뜻 | 비유·예시 |
|---|---|---|
| 취약점 | 프로그램에 생긴 보안상 빈틈 | 잠금장치가 헐거운 창문 |
| 임시 조치 | 고친 버전 전까지 위험을 줄이는 설정 | 고장 난 문에 붙인 테이프 |
| 세션 | 방문자가 머무는 동안 기억해 두는 정보 | 카페 진동벨 번호 |
| 업로드 진행률 | 파일 올릴 때 보여 주는 진행 막대 | 택배 배송 단계 표시 |
| 원격 코드 실행 | 밖에서 우리 서버에 명령을 내리는 공격 | 남이 우리 가게 금고를 원격으로 여는 것 |
다행히 이 문제는 세 가지 설정 조건이 모두 맞을 때만 생깁니다. PHP 개발팀도 실제로는 드문 조합이라고 밝혔어요. 다만 우리 홈페이지가 그 경우인지는 업체만 확인할 수 있습니다.
한 줄 정리: 고친 버전이 나오기 전까지는 설정을 꺼 두는 임시 조치가 유일한 방어입니다.
그래서 우리 가게에는? 내 홈페이지도 해당되나요?
PHP로 만든 홈페이지라면 확인 대상이고, 아니라면 이번 권고와는 관계가 없습니다.
사장님이 직접 서버를 열어 볼 필요는 없어요. 우리 홈페이지가 어떤 방식으로 만들어졌는지만 알면 됩니다. 아래 표에서 가까운 경우를 찾아보세요.
| 우리 홈페이지 상황 | 해당 여부 | 사장님이 할 일 |
|---|---|---|
| 워드프레스·그누보드로 만들었다 | 확인 대상 | 업체나 호스팅사에 임시 조치 여부 묻기 |
| 제작 업체가 서버까지 관리한다 | 업체 확인 필요 | 업체에 사용 언어와 조치 내역 묻기 |
| 호스팅사가 서버를 관리한다 | 호스팅사 공지 확인 | 호스팅사 공지사항 읽어 보기 |
| PHP를 쓰지 않는다고 확인했다 | 이번 권고와 무관 | 다른 보안 업데이트만 챙기기 |
| 어떻게 만들었는지 모른다 | 알 수 없음 | 만든 업체에 먼저 묻기 |
예를 들어, 5년 전 지인 소개로 만든 동네 치과 홈페이지가 있다고 해 볼게요. 게시판 주소 끝에 ".php"가 보인다면 PHP로 만들었을 가능성이 높아요. 이럴 땐 짐작하지 말고 만든 업체에 바로 물어보세요.
한 줄 정리: 우리 홈페이지가 PHP인지 아는 것이 오늘 할 일의 출발점입니다.
업체에 확인할 것 4가지는 무엇인가요?
사용 언어, 21일 업데이트, 24일 임시 조치, 다음 업데이트 계획 네 가지를 물으면 됩니다.
- 우리 홈페이지가 PHP를 쓰는지 묻습니다.
- 10월 21일 보안 업데이트 버전을 적용했는지 확인합니다.
- 세션 업로드 진행률을 끄는 임시 조치를 했는지 묻습니다.
- 정식 업데이트가 나오면 언제 적용할지 일정을 받아 둡니다.
3번은 설정 파일 한 줄을 바꾸고 프로그램을 다시 시작해야 끝나요. 설정만 바꾸고 재시작을 빼먹으면 적용이 안 됩니다. 아래 문장을 복사해 업체에 그대로 보내셔도 됩니다.
안녕하세요. KISA 10월 24일 PHP 임시 조치 권고(CVE-2026-115560) 관련 문의드립니다.
1) 저희 홈페이지가 PHP를 쓰는지
2) 10월 21일 보안 업데이트를 적용했는지
3) session.upload_progress.enabled 설정을 0으로 바꾸고 재시작했는지
4) 정식 업데이트 적용 예정일
네 가지를 회신 부탁드립니다.
한 줄 정리: 질문 네 개를 보내고, 받은 답장은 날짜와 함께 보관해 두세요.
일본 사례, 늦은 대응은 얼마나 비쌀까요?
보도에 따르면 일본에서는 PHP 결함이 알려진 뒤 해킹 시도가 크게 늘었고, 피해 기업들이 고객 보상에 나섰습니다.
재경일보가 로이터 보도를 옮긴 기사는 10월 26일에 나왔어요. 기사에 따르면 일본과 유럽에서 기업·정부 홈페이지가 멈추는 일이 이어졌습니다. 같은 시기 사이버 공격을 당한 일본 기업들은 보상금을 내놓았습니다.
| 구분 | 보도 내용(2026년 10월 26일 기준) |
|---|---|
| 일본 침해 사고 | 10월 20일까지 723건, 2024·2025년 연간 건수 초과 |
| GMO인터넷그룹 | 전체 고객에게 1인당 5,000엔 지급 결정 |
| 파크24(카셰어링) | 1인당 3,000엔 지급, 특별손실 55억 엔 예상 |
| 신용평가사 전망 | 보안 패치 역량이 약한 기업일수록 격차가 커질 것 |
큰 회사도 이렇게 비용을 치르는데, 작은 가게는 복구 여력이 더 부족합니다. 업데이트와 임시 조치는 보험료처럼 미리 내는 작은 비용이라고 생각하시면 돼요.
한 줄 정리: 패치를 미루는 비용은 나중에 보상금과 복구비로 몇 배가 되어 돌아옵니다.
만든 업체와 연락이 안 되면 어떻게 하나요?
KISA 118에 먼저 상담하고, 다른 유지보수 업체에 점검을 맡기는 방법이 있습니다.
KISA 사이버민원센터는 국번 없이 118로 상담할 수 있어요. 홈페이지 해킹이 의심될 때도 같은 번호를 씁니다. 만든 업체가 폐업했다면 서버 접속 정보부터 찾아 두세요.
다른 업체가 만든 홈페이지도 유지보수를 받을 수 있습니다. 잇다웹은 다른 업체가 만든 사이트도 맡아요. 다만 첫 작업에 구조 분석 비용이 따로 들고, 서버 접근 권한이 없으면 비용이 더 붙습니다. 서버 장애는 접수 당일 대응합니다. 자세한 단가는 유지보수 안내에서 확인하실 수 있어요(2026년 10월 기준).
한 줄 정리: 업체가 없다고 손 놓지 말고, 118 상담과 새 유지보수 업체로 공백을 메우세요.
실행 체크리스트
오늘 바로 할 수 있는 일부터 적었습니다.
- □ 홈페이지를 만든 업체와 호스팅사 연락처를 한곳에 적어 두기
- □ 위 문의 문장을 복사해 업체에 보내기
- □ 업체 답장을 날짜와 함께 보관하기
- □ 호스팅사 공지사항에서 PHP 관련 안내 찾아보기
- □ 관리자 비밀번호를 바꾸고 2단계 인증 켜기
- □ 연락이 안 되면 KISA 118에 상담 전화하기
한 줄 정리: 연락처 정리, 문의 발송, 답장 보관 세 가지만 해도 절반은 끝납니다.
자주 묻는 질문
PHP 임시 조치, 사장님이 직접 할 수 있나요?
직접 하시기보다 업체나 호스팅사에 맡기는 게 안전합니다. 서버 설정 파일을 바꾸고 프로그램을 다시 시작해야 하기 때문이에요. 잘못 건드리면 홈페이지가 멈출 수 있으니, 앞의 문의 문장 4줄로 요청해 주세요.
임시 조치를 하면 홈페이지 기능이 줄어드나요?
대부분의 홈페이지는 달라지는 점이 없습니다. 꺼 두는 기능은 파일 업로드 진행 막대를 보여 주는 설정이에요. PHP 개발팀은 이 설정을 바꿔 쓰지 않는 사이트라면 계속 켜 둬도 된다고 했지만, 판단은 업체에 맡기세요.
정식 업데이트는 언제 나오나요?
PHP 공지에는 "다음 정기 업데이트에 포함"이라고만 나와 있고 날짜는 없습니다. 그래서 업체에 적용 예정일을 받아 두는 게 중요해요. 나오면 KISA 보호나라 보안공지에도 올라오니 한 달에 한 번은 확인해 보세요.
한 줄 정리: 직접 고치지 말고, 업체에 맡기되 날짜와 답장은 사장님이 챙기세요.
우리 홈페이지가 이번 권고에 해당하는지 확인이 필요하다면 무료 견적 상담에 홈페이지 주소와 걱정되는 점을 남겨 주세요. 점검이 필요한 부분을 함께 안내해 드립니다.
사진: Unsplash (photo-1516259762381-22954d7d3ad2, photo-1784206958237-7d0b17a91838, photo-1594915440248-1e419eba6611)