홈페이지 보안 관련하여 이런 공문을 받았습니다.

홈페이지 호스팅 서비스를 이용하고 있는 00요양병원입니다.

홈페이지 개발부터 의뢰한 업체이고 현재 매월 유지보수료(5만)를 지불하고 사용중입니다.

홈페이지 구성과 메뉴는 간단한 편이고 회원 가입 후 글쓰기 기능을 할 수 있는 게시판이 2개 정도 운영됩니다.

며칠 전 아래와 같은 공문을 받고..

여기에 대한 후속 조치로 PHP 보안 취약점 대응 및 버전 업데이트 견적서를 보내왔더군요.

약 50만원이 좀 넘는 비용이 청구된다고 합니다.

홈페이지 위탁 서비스를 이용하는 입장에서 1년 사용료를 한꺼번에 부담하라는 것이 잘 이해가 안 되어서요.

서비스를 운영하는 회사에서 자체 서버의 보안은 회사 차원에서 유지, 관리해야 하는 것이 아닌가 해서요.

잘 모르는 사항이라 고민하다가 고수님들께 여쭤 봅니다.

(공문 내용입니다)

최근 홈페이지 운영에 널리 사용되는 PHP에서 중대한 보안 취약점이 공개되었습니다. 이에 귀사 홈페이지의 안정적인 운영과 보안 사고 예방을 위해 관련 내용 및 조치 절차를 아래와 같이 안내드리오니, 담당자께서는 내용을 검토하시고 회신하여 주시기 바랍니다.

1. PHP 보안 취약점 개요

PHP는 기업 홈페이지, 게시판, 쇼핑몰 등의 기능을 서버에서 실행하는 핵심 소프트웨어입니다.

2026년 10월 21일 PHP 개발팀은 외부 공격자가 별도의 로그인이나 인증 없이 서버에서 임의의 코드를 실행할 수 있는 중대한 보안 취약점 2건을 공개하고, 보안 업데이트를 배포하였습니다.

• 대상 취약점: CVE-2026-109618, CVE-2026-109619

• 공개된 위험도: CVSS v4.0 기준 각 9.2점

• 주요 위험: 서버 내 정보 유출, 홈페이지 및 데이터 변조, 서비스 중단 등

이번 사안은 PHP 소프트웨어 자체의 결함에 관한 것으로, PHP를 사용하는 다양한 홈페이지와 운영기관에서 공통으로 확인하고 대응해야 하는 문제입니다. 실제 영향 및 필요한 조치는 PHP 버전, 보안 패치 적용 여부, 서버 구성 등에 따라 달라질 수 있습니다.

본 공문을 받으신 고객사의 홈페이지는 영향받는 PHP 버전을 사용 중인 것으로 확인되어 조치 대상에 해당합니다.

취약 버전 사용이 확인되었다는 사실만으로 이미 침해사고가 발생했다는 의미는 아닙니다. 다만 정상적으로 접속된다는 사실만으로 안전하다고 판단할 수도 없습니다.

2. 보안 업데이트 및 추가 점검 사항

10월 21일 공개된 두 취약점의 수정 버전은 다음과 같습니다.

| 사용 계열 | 업데이트 대상 | 해당 취약점 수정 버전 |

|---|---|---|

| PHP 8.5 | 8.5.12 미만 | 8.5.12 이상 |

| PHP 8.4 | 8.4.27 미만 | 8.4.27 이상 |

| PHP 8.3 | 8.3.36 미만 | 8.3.36 이상 |

| PHP 8.2 | 8.2.35 미만 | 8.2.35 이상 |

| PHP 8.1 이하 | PHP 프로젝트의 정규 보안 지원 종료 | 지원 중인 버전으로 전환하거나 공급업체의 해당 취약점 패치 제공·적용 여부 확인 |

※ 운영체제 또는 호스팅 공급업체가 기존 버전에 보안 수정 사항을 반영한 경우에는, 표시되는 PHP 버전 번호뿐 아니라 공급업체의 보안 공지와 패키지 정보를 함께 확인합니다.

또한 10월 23일에는 특정 세션 설정과 프로그램 동작이 결합된 환경에서 발생할 수 있는 추가 취약점(CVE-2026-115560)이 안내되었습니다. 이에 따라 업데이트 여부와 함께 관련 설정을 점검하고, PHP 공식 권고에 따른 설정 변경 등 필요한 조치를 진행합니다.

지원이 종료된 PHP를 사용하는 홈페이지는 버전 전환 과정에서 기존 프로그램 수정이나 서버 이전이 필요할 수 있습니다.

3. 당사의 대응 및 임시 보완조치

당사는 고객사별 운영 환경과 서버 관리 권한을 확인하여, 직접 조치할 수 있는 항목과 호스팅사 등 외부 관리 주체의 협조가 필요한 항목을 구분하고 있습니다.

아래의 임시 보완 조치를 즉각 시행했습니다.

session.upload_progress.enabled = 0 (파일 업로드 진행률 표시 기능 끄기)

memory_limit = -1

post_max_size 낮게 설정 (업로드가 필요 없으면 8M, 필요하면 32M 수준), upload_max_filesize는 post_max_size보다 작게 유지

방화벽 및 관리용 접속의 IP 제한은 공격에 노출되는 범위를 줄이기 위한 보완조치입니다. 일반 이용자에게 공개된 웹서비스를 통한 공격까지 완전히 차단하거나, PHP 자체의 취약점을 제거하는 조치는 아닙니다.

따라서 임시 보완조치만으로 대응을 완료할 수 없으며, 보안 업데이트를 우선하여 진행해야 합니다.

즉시 업데이트가 어려운 경우에는 서비스의 중요도와 노출 위험을 검토하여, 조치가 완료될 때까지 한시적인 외부 접근 제한 또는 서비스 중단 여부를 귀사 및 서버 관리 주체와 협의하겠습니다.

4. 미조치 시 발생할 수 있는 위험

취약점이 남아 있는 서버가 공격을 받을 경우, 서버 권한과 저장된 정보 등에 따라 다음과 같은 피해가 발생할 수 있습니다.

• 홈페이지 및 데이터 변조: 게시물, 상품 정보, 결제·문의 안내 등이 무단으로 변경될 수 있습니다.

• 정보 유출: 서버에 저장되거나 처리되는 고객 정보 및 운영 정보가 노출될 수 있습니다.

• 악성 파일 설치: 서버에 악성 파일이 설치되어 추가 공격이나 악성코드 유포에 악용될 수 있습니다.

• 서비스 중단: 서버 장애, 데이터 손상 또는 사고 대응으로 홈페이지 운영이 중단될 수 있습니다.

침해사고가 발생하면 원인 조사, 서비스 복구 및 재발 방지에 추가적인 시간과 비용이 필요할 수 있으므로, 사전 점검과 신속한 조치를 요청드립니다.

비용 부담 및 무상·유상 처리 여부는 기존 계약의 유지보수·보안관리 범위와 실제 필요한 작업 내용을 확인하여 안내드리겠습니다.**

기존 계약 범위를 초과하는 상세 점검, 프로그램 수정 또는 서버 이전 등에 비용이 필요한 경우에는 작업 범위와 견적을 사전에 안내하고, 귀사의 승인을 받은 후 진행합니다.

단순 회신이나 상담 요청만으로 비용이 발생하지 않습니다. 유상 상세 점검이 필요한 경우에도 점검 착수 전에 비용을 안내하고 별도 승인을 받습니다.

6. 진행 절차

① 회신 및 상담 접수

첨부 회신서를 작성하여 담당자 이메일로 보내 주시기 바랍니다.

② 운영 환경 및 계약 범위 확인

PHP 버전, 서버 관리 주체, 보안 패치 적용 여부 및 기존 계약 범위를 확인합니다.

③ 조치 계획 및 견적 안내

필요한 작업, 예상 일정, 서비스 영향 및 비용 발생 여부를 안내합니다.

④ 승인 및 작업 일정 협의

유상 작업은 귀사의 승인을 받은 후 진행하며, 서비스 중단이 예상되는 경우 사전에 일정을 협의합니다.

⑤ 백업 및 보안 조치

작업 전 백업 상태와 복구 절차를 확인하고, 보안 업데이트 및 필요한 호환성 작업을 진행합니다.

⑥ 기능 점검 및 결과 안내

홈페이지와 관리자 페이지의 주요 기능을 점검하고, 적용 결과와 남은 확인 사항을 안내합니다.

호스팅 서비스를 이용하는 경우 PHP 업데이트는 호스팅사에서 진행할 수 있으며, 당사는 필요한 프로그램 호환성 검토 및 기능 확인 범위를 협의하여 지원합니다.

작업 일정은 회신 접수 순서뿐 아니라 취약점 노출 정도, 개인정보 처리 여부 및 서비스 중요도 등을 고려하여 조율합니다.

7. 보안 조치의 범위와 한계

이번 작업은 확인된 PHP 취약점에 대한 대응을 목적으로 합니다. 해당 보안 업데이트 및 필요한 추가 조치를 적용하면 관련 취약점으로 인한 위험을 해소하거나 줄일 수 있습니다.

다만 홈페이지 보안에는 서버, 데이터베이스, 관리자 계정 및 다른 프로그램 등 다양한 요소가 영향을 미치므로, 이번 조치가 모든 보안 위협에 대한 안전을 보장하는 것은 아닙니다.

또한 보안 업데이트는 이미 발생한 침해의 흔적이나 설치된 악성 파일을 자동으로 제거하지 않습니다. 점검 과정에서 침해가 의심되는 정황이 확인되면 별도의 조사 및 복구 필요성을 안내하고 후속 대응을 협의하겠습니다.

긴 내용 읽어주셔서 감사합니다.