PHP 보안 취약점에 사이버위기 경보 상향… 넥시얼, 무료 보안 점검 지원

PHP에서 심각한 보안 취약점이 발견되고 정부가 민간 분야 사이버위기 경보를 ‘주의’ 단계로 상향한 가운데, 소프트웨어 개발 전문 기업 넥시얼(NEXIAL)이 기업 웹사이트를 대상으로 무료 보안 사전 점검 서비스를 제공한다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 10월 22일 PHP의 심각한 보안 취약점과 관련해 보안 업데이트를 권고하고, 민간 분야 사이버위기 경보를 기존 ‘관심’에서 ‘주의’로 상향했다.

공개된 PHP 취약점은 CVE-2026-109618과 CVE-2026-109619 두 건이다. 두 취약점 모두 CVSS 4.0 기준 9.2점으로, 취약한 환경에서는 특정 조건을 악용한 원격 코드 실행(RCE) 위험이 있다.

CVE-2026-109618은 메모리 부족 상황에서 비정상적인 메모리 처리가 발생하는 취약점이다. CVE-2026-109619는 내부 요청을 처리하는 과정에서 해제된 메모리와 관련된 상태가 적절히 초기화되지 않아 발생한다.

PHP 개발팀은 10월 21일 해당 취약점을 해결한 보안 업데이트를 발표했다. 업데이트 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12다. 영향을 받는 버전을 사용하는 경우 보안 업데이트를 적용해야 한다.

보안 지원이 종료된 PHP 버전을 운영하는 기업은 현재 시스템의 버전과 지원 여부를 확인하고, 지원되는 버전으로 전환하는 방안을 검토할 필요가 있다.

Node.js에서도 보안 취약점이 확인됐다. Node.js 프로젝트는 10월 21일 공식 보안 업데이트를 발표했으며, 여기에는 DNS 이름 처리 오류와 특정 형태의 IP 주소를 이용한 TLS 인증서 호스트명 검증 우회 문제 등에 대한 수정이 포함됐다. 프로젝트 측은 영향을 받는 버전 계열의 보안 수정 버전을 공개하고 업데이트를 권고했다.

PHP와 Node.js는 기업 홈페이지, 쇼핑몰, 예약 시스템, 회원관리 서비스, 온라인 플랫폼 등 다양한 웹서비스에 사용된다. 기업은 웹사이트에 적용된 기술과 서버 운영 환경을 확인하고 보안 업데이트가 적용됐는지 점검해야 한다.

외부 개발사를 통해 웹사이트를 구축한 뒤 장기간 유지보수하지 않았거나, 현재 사용하는 PHP·Node.js 버전을 파악하지 못하고 있는 기업은 보안 관리 상태를 확인하는 것이 중요하다.

넥시얼은 기업이 웹사이트의 기본적인 보안 상태를 간편하게 확인할 수 있도록 무료 보안 진단 서비스 ‘NEXIAL Security’를 제공한다. 별도의 프로그램 설치나 회원가입 없이 웹사이트 주소(URL)를 입력하면 이용할 수 있으며, 외부에서 확인 가능한 보안 설정과 잠재적 위험 요소를 점검해 결과를 이해하기 쉬운 형태로 보여준다.

진단 대상은 PHP와 Node.js 기반 웹사이트에 한정되지 않는다. JSP 등 다양한 기술 환경에서 운영되는 웹사이트도 무료 점검을 받을 수 있다. 진단 후 추가 보안 검토나 시스템 개선이 필요하면 넥시얼에 상담을 신청할 수 있다.

다만 NEXIAL Security는 외부에서 확인 가능한 항목을 중심으로 한 사전 점검 서비스다. 서버 내부의 PHP·Node.js 버전이나 패치 적용 여부를 항상 확인할 수 있는 것은 아니며, 특정 취약점의 존재를 확정하거나 모든 보안 위험을 탐지하지는 않는다.

넥시얼 마케팅팀 김민준 팀장은 “최근 PHP와 Node.js에서 잇따라 보안 취약점이 발표되면서 기업이 웹사이트의 보안 관리 상태를 다시 확인할 필요성이 커졌다”며 “특히 구축 이후 장기간 업데이트하지 않은 웹사이트는 현재 사용 중인 기술과 보안 설정을 점검해야 한다”고 말했다.

김 팀장은 “기업이 웹사이트의 외부 노출 보안 상태를 간편하게 확인할 수 있도록 무료 진단 서비스를 제공하고, 필요하면 보안 개선과 시스템 유지보수도 지원할 계획”이라고 밝혔다.

NEXIAL Security는 공식 서비스 홈페이지에서 무료로 이용할 수 있다. 웹사이트 주소를 입력하면 회원가입 없이 보안 사전 진단을 진행할 수 있으며, 결과에 따라 보안 개선 상담도 신청할 수 있다.