# [긴급 주의] PHP 의 중대한 취약점 발견. 귀하의 개인정보와 병원의 시스템은 안전합니다?

> https://bookfactory.kr/board/news/23397
> 게시판: 뉴스
> 작성자: admin
> 작성일: 2026-10-23T09:28:07.220Z

---

2026 년 10 월, 세계적으로 경계되고 있는 'PHP2Shell'이란 무엇인가? 'PHP 에 중대한 취약점이 발견되었다'는 같은 뉴스를 보셨나요? …… PHP 란 무엇인가요? 솔직히 말하면 의료 업무만 하고 있다면, 잘 들어본 적이 없는 단어일 것입니다. 저는 10 년 이상 간호사로 일해 왔지만, 최근 AI 와 IT, 사이버 보안에 대해 배우기 시작하면서 관심 있는 뉴스가 많아졌습니다. 이번 조사에서 놀랐던 점은, 평소 무심코 이용하고 있는 웹사이트 뒤쪽에 예상치 못한 위험이 숨어 있을 수 있다는 사실입니다. 게다가 이번 문제는 병원 웹 예약이나 진단 시스템 등에도 무관하다고 단정할 수 없습니다. 정확히 어떤 일이 일어나고 있는 것일까요? 전문 용어를 최대한 사용하지 않고 함께 살펴보겠습니다. ⸻1. 2026 년 10 월, PHP 에 중대한 취약점이 발견되었습니다. 2026 년 10 월 21 일, PHP 개발자가 2 건의 중대한 취약점을 공개했습니다. 다음 날인 22 일에는 일본의 JPCERT/CC 도 경보 발령을 발표했습니다. 이번 취약점은 'PHP2Shell'이라는 이름으로 불립니다. 대상은 다음 2 건입니다.* CVE-2026-109618* CVE-2026-109619두 가지 모두 조건이 충족되면 공격자가 외부에서 프로그램을 실행할 수 있는 문제가 있습니다. 영국 NHS England 은 두 가지 모두 CVSS v4.0 기준으로 9.2 라는 높은 심각도를 표시했습니다. CVSS 는 취약점의 심각성을 공통 기준에 따라 평가하는 체계입니다. 일반적으로 수치가 높을수록 주의가 필요합니다. 다만, 여기에서 중요한 점은 '중대한 취약점이 발견되었다'는 사실과 '실제로 개인 정보가 도난당했다'는 것은 별개라는 것입니다.
캐나다 사이버보안 당국은 10 월 21 일의 경고에서 공격을 재현하기 위한 검증 코드가 공개되어 있지만, 그 시점에 실제 악용 사례는 확인되지 않았다고 설명했습니다. 즉, 위험성은 매우 높지만 피해가 발생했다고 단정할 수는 없습니다. 출처: * JPCERT/CC (2026 년 10 월 22 일) https://www.jpcert.or.jp/at/2026/at260033.html* NHS England (2026 년 10 월 21 일) https://digital.nhs.uk/cyber-alerts/2026/cc-4875* 캐나다 사이버보안 센터 (2026 년 10 월 21 일) https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619.そもそも PHP って何？PHP 는 웹사이트나 웹 서비스의 뒤에서 작동하는 프로그래밍 언어입니다. 예를 들어, 온라인 쇼핑에서 상품을 구매할 때 로그인하고 상품을 선택하여 주문하는 과정입니다. 화면에는 표시되지 않지만 그 뒤쪽에서는 프로그램이 작동하고 있습니다. PHP 는 이러한 구조를 만들기 위해 사용되는 언어 중 하나입니다. 대표적인 예로 블로그나 기업 사이트에서 활용되는 'WordPress'가 있습니다. WordPress 역시 PHP 를 사용합니다. 그렇다면 PHP 의 취약성은 무엇일까요? 병원을 예로 들어보겠습니다. 병원의 건물에는 직원만 들어갈 수 있는 방이 있다고 가정해 보겠습니다. 그런데 도
구조에 결함이 있어 특정 조작을 하면 외부의 사람도 열 수 있습니다. 이것이 취약점의 이미지입니다. 그리고 실제로 누군가가 그 결함을 이용해 침입하는 것이 '악용'입니다. 이번 PHP2Shell은 PHP 가 내부에서 사용하는 메모리의 처리에 문제가 있으며, 조건에 따라 외부에서 불법 코드를 실행될 가능성이 있습니다. 전문적으로는 RCE(원격 코드 실행)라고 불립니다. 공격자가 떨어진 곳에서 서버에 의도하지 않은 처리를 실행하게 할 수 있다는 뜻입니다. 그러나 PHP 를 사용하는 사이트가 모두 위험하다는 의미는 아닙니다. 사용 버전이나 설정, 수정 상황 등에 따라 위험도는 달라집니다. 3. 일본에서도 PHP 의 취약점을 악용한 공격이 발생했습니다. 사실 PHP 의 취약점이 문제가 된 것은 이번이 처음이 아닙니다. 2024 년에 공개된 'CVE-2024-4577'이라는 취약점이 있습니다. 이는 주로 Windows 환경에서 PHP 를 특정 방식으로 실행할 때 문제가 되는 것으로, 문자 변환 처리와 명령어 해석 관련 문제를 악용하면 외부에서 불법 코드를 실행할 가능성이 있었습니다. 그리고 이는 단순한 이론적 위험이 아니었습니다. 2024 년 7 월, IPA(정보처리推進機構) 는 일본 내 여러 조직에서 실제로 악용되어 웹 서비스에 '웹 쉘'이 설치된 피해가 확인되었다고 공표했습니다. 웹 쉘이란 공격자가 침입 후 서버를 원격으로 조작하기 위해 이용하는 불법 프로그램입니다. 예를 들어, 건물에 침입한 사람이 나중에 자유롭게 출입할 수 있는 비밀 입구를 만들어버리는 것과 같습니다.
더 위험한 점은 침입된 서버가 다른 조직의 공격 중계지로 악용될 수 있다는 점입니다. IPA(일본 정보보호기구) 역시 이러한 공격에 대한 경계심을 촉구했습니다. 이 사례에서 배울 수 있는 점은 취약점을 수정하는 것뿐만 아니라 이미 침입되지 않았는지 확인하는 것도 중요하다는 것입니다. 출처: IPA(2024 년 7 월 5 일 공개, 7 월 12 일 업데이트) https://www.ipa.go.jp/security/security-alert/2024/alert_20240705.html

4. 공격자는 어디를 노리고 있는가?

사이버 공격이라고 하면 의심스러운 이메일 링크를 클릭하여 감염되는 이미지가 떠오르시나요? 물론, 그러한 공격도 존재합니다. 하지만 이번 사례와 같은 서버 측 취약성의 경우, 일반 사용자가 무엇을 클릭하더라도 공개된 웹 서비스 자체가 공격 대상이 될 수 있습니다. 특히 주의해야 할 것은 인터넷에서 접근 가능한 서버입니다. 공격자는 수정되지 않은 프로그램이나 설정의 결함을 탐지합니다. 그리고 침입에 성공하면 조건에 따라 정보 유출, 프로그램 변조, 다른 시스템 침입 등으로 이어질 수 있습니다. 여기서 기억해 두어야 할 용어가 세 가지 있습니다.

① SQL 인젝션: 데이터베이스의 조회 처리에 악의적인 명령어를 섞어 넣는 공격입니다. 개인정보의 불법 조회나 변조를 초래할 수 있습니다.

② XSS(크로스 사이트 스크립팅): 웹 페이지에 악의적인 스크립트를 삽입하여 방문자의 브라우저에서 실행하게 하는 공격입니다.

③ RCE(원격 코드 실행): 외부에서 서버 등에 악의적인 코드를 실행하게 하는 공격입니다.

참고로, 이...
이것들은 모두 PHP 의 고유한 문제점은 아닙니다. PHP 자체의 결함과 PHP 로 작성된 웹 애플리케이션의 설계 및 구현상의 결함을 구분해야 합니다. 5. 병원 및 의료 AI 와도 관련이 있나요? 이제부터는 간호사로서 특히 궁금했던 부분입니다. 현재 병원에서도 다양한 디지털 서비스가 사용되고 있습니다. 예를 들어, 웹 예약, 온라인 상담, 환자 포털, 검사 결과 확인 서비스 등이 있습니다. 이 중에는 PHP 를 활용하여 구축된 시스템도 있을 수 있습니다. 다만, 개별 병원이 PHP 를 사용하고 있는지 외부에서 추측만으로 판단할 수는 없습니다. 문제는 프로그래밍 언어의 이름 그 자체라기보다, 환자 정보를 다루는 시스템이 적절히 관리되고 안전하게 연결되어 있는지에 있습니다. 예를 들어, 웹 상담 시스템에 취약점이 존재할 경우, 성명이나 연락처뿐만 아니라 병력, 복용 내역, 알레르기, 방문 사유 등 민감한 정보가 영향을 받을 수 있습니다. 물론 취약점이 존재한다고 해서 반드시 정보 유출이 발생하는 것은 아닙니다. 그러나 의료 정보가 한 번 유출되면 환자의 사생활과 의료 기관에 대한 신뢰에 큰 타격을 줄 수 있습니다. 또한 의료 AI 의 도입이 확대되면 상담, 진료 지원, 환자용 서비스 등 여러 시스템이 연계되는 기회가 늘어날 것입니다. 편리해지지만, 연결 대상의 인증, 접근 권한, 통신 경로, 장애 대응 등 고려해야 할 사항도 늘어납니다. 중요한 것은 AI 가 위험하거나 PHP 가 위험하다고 단정 짓는 것이 아니라, 환자 정보가 어디에 저장되고 어떤 시스템과 연결되며 누가 관리하는지까지 이해하고 안전성을 고려하는 것입니다. 6. 우리
해결책은 무엇일까요? 그렇다면 무엇을 해야 할까요? 먼저 웹사이트나 시스템을 관리하는 입장이라면 PHP 및 관련 제품의 버전을 확인하고 필요한 수정 사항을 적용하는 것이 중요합니다. 이번 PHP2Shell 사건에서는 다음 버전이 수정되어 공개되었습니다. * PHP 8.5.12 * PHP 8.4.27 * PHP 8.3.36 * PHP 8.2.35 PHP 8.1 이以前的은 공식 지원이 종료되었으므로 지원 대상 버전으로의 전환 또는 제공元の 대응 정보 확인이 필요합니다. 또한 단순히 업데이트만 끝내지 말고, 이상한 통신이나 파일, 시스템의 이상 징후가 없는지 반드시 확인해야 합니다. 일반 이용자는 웹사이트 PHP 를 직접 업데이트할 수 없습니다. 우리가 할 수 있는 것은 계정별로 다른 비밀번호를 사용하는 것, 다중 인증을 설정하는 것, 이상한 알림을 확인하는 것 등이 있습니다. 그러나 이러한 조치만으로는 서버 측 취약점을 방어할 수 없습니다. 의료 종사자라면 평소와 다른 화면 표시, 갑작스러운 로그인 장애, 환자 정보의 비자연스러운 표시 등을 발견하면 즉시 병원 내 지정 창구로 보고하는 것이 중요합니다. 의심스러운 상황에서는 자체 판단에 따른 설정 변경이나 증거가 되는 로그 삭제는 절대 해서는 안 됩니다. 시스템 관리자, 벤더, 현장 직원이 각자의 역할을 수행해야 합니다. 7. 간호사로서 느낀 점 최근 의료 AI 와 의료 DX 에 대해 공부하고 있습니다. 편리한 AI 가 등장하면 "이걸 병원에 도입하면 업무가 쉬워지겠지!"라고 생각하기 쉽습니다. 하지만 이번 뉴스를 조사하며 느낀 점이 있습니다. 그것은 새로운 기술을 잘 다루는 능력과
안전한 운영을 위한 지식도 필요하다는 뜻입니다. 간호사는 일상적으로 환자의 낙상 위험, 약물의 부작용, 감염 위험 등을 고려합니다. 그렇다면 디지털 시스템의 위험은 어떻게 될까요? "시스템은 전문 업체에 맡기면 괜찮다"고 생각할 수 있는 순간도 있습니다. 물론 기술적 관리가 간호사가 모두 담당할 필요는 없습니다. 하지만 이상 징후를 인지하고 적절히 보고하며, 환자 정보를 신중하게 다루는 것은 현장에 있는 우리 모두의 몫입니다. 의료 AI 를 공부할수록 AI 의 성능뿐만 아니라 그 기반이 되는 정보 보안의 중요성을 느끼게 됩니다.

8. 요약｜편리한 기술을 안심하고 사용하기 위해
이번 PHP 뉴스에서 제가 가져온 포인트는 세 가지입니다.
* 2026 년 10 월, PHP 에 중대한 취약점이 발견되어 세계의 보안 기관이 경보를 울리고 있습니다.
* 과거에는 일본 국내에서도 PHP 의 취약점을 악용한 공격이 실제로 확인되었습니다.
* 의료 디지털 전환 (DX) 을 추진할 때 새로운 기술 도입뿐만 아니라 시스템의 업데이트, 모니터링, 정보 보호도 필수적입니다.

사이버 보안이라고 하면 전문가만의 어려운 세계처럼 느껴질 수 있습니다. 하지만 우리가 매일 사용하는 웹 서비스나 환자의 소중한 정보를 보호하기 위한 이야기이기도 합니다. 저는 아직 학습 중이지만, 의료 AI 의 가능성을 추종하는 것뿐만 아니라 그 뒤쪽의 위험에 대해서도 계속 배우고 싶습니다. 편리한 의료와 안전한 의료. 둘 다 소중히 여기고 싶습니다.

⸻참고 자료
* PHP 공식 (2026 년 10 월 21 일) https://www.php.net/archive/2026.php#202
6-10-21-5* JPCERT/CC(2026 년 10 월 22 일) https://www.jpcert.or.jp/at/2026/at260033.html* NHS England(2026 년 10 월 21 일) https://digital.nhs.uk/cyber-alerts/2026/cc-4875* 캐나다 사이버보안센터(2026 년 10 월 21 일) https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619* 정보통신기술진흥센터(2024 년 7 월 5 일) https://www.ipa.go.jp/security/security-alert/2024/alert_20240705.html

![画像](https://assets.st-note.com/img/1792727027-OZs8Al4c3IgECiPjzyq6hHwS.png?width=1200)

**출처:** [note 원문](https://note.com/hiikarusama8839/n/n7e420a186d76)

*번역: Qwen 3.5(.48) 초벌 + 교정 검수*

[원문 보기](https://note.com/hiikarusama8839/n/n7e420a186d76) | 출처: note.com