첫 패치 공지까지 20분, 정부의 조치는 권고 형태

과학기술정보통신부는 10월22일 보도자료를 내고 PHP 보안 취약점에 대한 긴급 업데이트와 기술적 조치를 당부했습니다. 정보보호네트워크정책실장은 국감에서 10월21일 밤 11시에 위협을 확인하고 11시20분에 패치 적용 안내 공지를 냈다고 밝혔습니다. 확인에서 공지까지 걸린 시간은 20분이며, 정부가 직접 시스템을 고친 것이 아니라 사용자에게 적용을 권고한 형태입니다.

10월21일 패치로 닫히지 않은 새 원격코드실행 결함

한국인터넷진흥원은 10월24일 신규 취약점 CVE-2026-115560에 대한 임시 조치 권고를 공지했습니다. 이 결함은 10월21일 배포된 패치로도 해결되지 않는 원격코드실행 유형이며, 공식 해결 버전이 아직 나오지 않은 상태입니다. 같은 기간 민간 분야 사이버위기 경보는 10월22일 낮 12시를 기해 '관심'에서 '주의' 수준으로 한 단계 올라갔습니다. 위협이 한 건의 공개로 끝나지 않고 이어지고 있다는 점이 경보 상향과 권고 공지에 그대로 반영된 셈입니다.

실제 악용 확인 목록에는 아직 이름이 없습니다

미국 사이버보안인프라보안국의 실악용 확인 목록인 KEV를 10월24일 기준으로 조회하면 이번 사태의 3개 CVE 어느 것도 등재되어 있지 않습니다. 확산 논의의 실질 근거는 공식 확인된 대규모 악용이 아니라 공격코드 공개와 개념증명 실증, 경보 상향에 두고 있습니다. 국내 PHP 사용률 약 80%라는 수치는 국회 발언에 나온 것이지만 통계 원자료는 아직 확보되지 않았습니다. 유럽 공공기관 웹사이트 중단이나 미국·영국의 패치 권고도 언론 보도로만 전해지고 각국 공식 문서는 아직 확인되지 않았습니다.

해외 피해 사례까지는 관측이 더 필요한 구간

전 세계 웹사이트의 70~75%가 PHP를 쓴다는 W3Techs 통계는 매경 보도를 통해 전해졌습니다. 사용 기반이 넓다는 전제 자체는 여러 보도에서 일관되게 나오지만, 그것이 곧 실제 침해 규모를 뜻하지는 않습니다. 국내에서 이 취약점을 이용한 침해 사고가 발생했는지도 아직 확인되지 않았습니다.

정부의 패치 안내와 경보 상향은 공개된 위협에 대한 대응이 맞고, 실악용 확인 목록의 부재를 고려하면 지금 단계의 확산 서술은 우려 중심으로 읽는 것이 대체로 사실에 부합하는 범위입니다. 앞으로 확인할 지점은 공식 해결 버전의 배포 여부와 KEV 등재, 국내외 실제 침해 사고의 발생 여부이며, 이번 사태가 일회성 공개로 끝나는지 아니면 계속되는 공격 흐름인지는 몇 주간의 관측이 더 필요합니다.