웹사이트 70%가 쓰는 PHP, 연쇄 해킹 공포 속에 금융권 초비상

국민은행 5개 서비스 확인, 2개 조치·3개 차단…우리은행 서비스 2곳 조치 완료

구글 검색 선호 출처로 추가

권선무 기자

vivacheche@datanews.co.kr | 2026.10.28 08:35:16

전 세계 웹사이트의 70%가 사용하는 프로그래밍 언어 피에이치피(PHP)에서 인증 절차 없이 서버에 악성 코드를 실행할 수 있는 치명적인 보안 취약점이 발견되면서, 국내 금융권에 비상이 걸렸다. 최근 은행권에서 대출모집인 조회 시스템과 직원 업무지원 시스템 등 외부 접점에서 해킹 사고가 잇따른 가운데, 금융회사 홈페이지와 각종 외부 서비스까지 공격 경로가 될 수 있다는 우려가 커지고 있다.

PHP 개발진은 원격 코드 실행(RCE)이 가능한 중대 취약점 2건을 수정한 보안 업데이트를 최근 공개했다. 사용자들에게는 즉각적인 업데이트를 권고했다. 공식 보안 공지에 따르면, 해당 결함은 공격자가 로그인하지 않고도 서버에서 임의의 코드를 실행할 수 있는 문제다. PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12가 수정 버전으로 공개됐다.

28일 금융권에 따르면, 국내 주요 은행들은 PHP를 사용하는 서비스와 시스템을 긴급 점검하고 보안패치 적용에 나섰다. 케이비(KB)국민은행과 우리은행은 PHP 기반 서비스의 취약점을 점검하고 대응 조치를 진행한 것으로 파악됐다.

KB국민은행은 관련 서비스 5개를 확인해 2개는 조치를 마쳤고, 나머지 3개는 서비스를 차단한 뒤 취약점을 보완해 재개하기로 했다. 우리은행은 사무·홍보용 서비스 가운데, 외부에서 접근 가능한 2개를 대상으로 조치를 완료했다.

이어, KB금융그룹은 계열사 전반으로 점검 범위를 넓혔다. 우리금융그룹은 금융업무와 직접 관련이 없는 서비스에서 발견된 PHP 사용 사례에 대해서도 보안 조치를 진행했다. 신한금융그룹의 경우, 통합 보안관제 체계에 가입하지 않은 자회사까지 점검 대상을 확대했다.

가장 우려되는 문제는, 오래된 PHP를 사용하는 시스템이다. 공식 보안 지원이 종료된 구버전은 이번 취약점에 대한 패치를 받을 수 없거나, 지속적인 보안 업데이트를 기대하기 어렵다. 따라서 단순히 보안패치를 설치하는 것을 넘어, 지원되는 상위 버전으로 엔진을 교체하고 연계된 애플리케이션의 정상 작동 여부까지 확인해야 한다.

PHP 개발진이 공개한 수정 버전에는 8.2 계열도 포함돼 있다. PHP 8.2는 올해 12월 31일 지원 종료가 예정돼 있어 중장기적인 버전 전환 계획도 필요하다.

AI가 찾아낸 취약점…한국 금융기관 겨냥한 공격 준비 정황도

이번 사태가 더욱 심각한 것은 인공지능(AI)이 취약점 발견 과정에서 핵심적인 역할을 했고, 이를 악용하려는 공격 준비 정황까지 포착됐기 때문이다.

로이터통신에 따르면 보안업체 캘리프는 오픈AI의 AI 모델을 활용해 첫 번째 취약점을 발견해 PHP 개발진에 신고했다. 구글 산하 보안업체 위즈도, 이와 별도로 두 번째 취약점을 찾아냈다. 두 취약점의 심각도는 공통취약성점수시스템(CVSS·Common Vulnerability Scoring System) 4.0 기준 각각 9.2점으로 평가됐다.

싱가포르 사이버보안 기업 사이퍼마는 지난 23일 한국어를 사용하는 공격자들이 PHP 취약점을 이용해 세계 각국의 정부기관과 은행, 금융기관 등을 겨냥한 공격을 준비하는 정황을 공개했다. 공격 대상에는 한국도 포함됐다. 다만 특정 해킹 조직과의 연계 및 실제 공격 실행 여부는 별도로 확인해야 한다.

PHP의 광범위한 사용은 피해 확산 가능성을 키우는 요인이다. 웹 기술 조사기관인 웹쓰리 테크스(W3Techs)에 따르면, 2026년 10월 기준 서버 측 프로그래밍 언어를 확인할 수 있는 웹사이트 가운데 약 69.3%가 PHP를 사용한다. PHP를 사용하는 인터넷 공개 시스템이 많아 점검 대상이 광범위할 수 있음을 보여준다.

보안업체가 만든 보안솔루션도 취약점 노출

금융권이 특히 주목하는 대목은 은행이 직접 개발·운영하는 홈페이지뿐 아니라, 외부업체가 공급한 소프트웨어까지 공격 경로가 될 수 있다는 점이다. 브로드컴은 PHP 취약점의 영향을 받는 제품으로 시만텍 엔드포인트 프로텍션 매니저, 카본블랙 앱컨트롤 서버, 클라우드에스오씨 스팬브이에이(SOC SpanVA) 등 보안 관련 제품 3종을 공지한 것으로 알려졌다. 해킹을 막기 위해 도입한 보안관리 시스템 자체도, 취약한 구성 요소를 포함하고 있다면 공격의 출발점이 될 수 있다는 의미다.

더욱이 PHP 개발진은 기존 취약점 2건의 패치를 공개한 뒤, 세션 처리 과정과 관련된 별도의 원격 코드 실행 취약점(CVE-2026-115560)에 대한 추가 대응 필요성을 알렸다. 이 문제는 기존 패치(PHP2Shell)만으로 해결되지 않는 것으로 보고됐다. 금융회사들은 이에 따라 PHP 버전과 패치 적용 여부뿐 아니라 외부 보안솔루션의 제품 버전, 공급업체의 보안 공지, 취약점 보완 일정까지 확인해야 하는 상황이다.

금융권, ‘패치 완료’ 넘어 외부 접점 전수 점검해야

전문가들이 강조하는 것은 단순한 긴급 업데이트를 넘어선 상시적인 보안 관리다. 금융회사 내부의 핵심 거래 시스템이 안전하더라도 홈페이지, 협력업체 포털, 관리자 페이지, 원격 접속 서버 등 외부와 연결된 시스템이 침해되면 공격자가 내부망으로 접근할 발판을 확보할 수 있기 때문이다.

금융당국이 금융회사 555곳을 대상으로 진행한 보안점검에서 130곳의 보안관리 미흡 사항이 발견됐다는 점도 부담이다. 제공 자료에 따르면 보안패치 미적용과 기술지원이 종료된 시스템의 관리 부실 등이 주요 문제로 지적됐다. 금융권은 홈페이지와 대고객 서비스뿐 아니라 개발·테스트 서버, 협력업체 포털, 내부 업무지원 시스템까지 PHP 자산 전수조사 등을 서두르고 있다.

권선무 기자