[블록미디어 명정선 기자] 미국 주요 정보·보안기관이 웹사이트 운영에 널리 사용되는 프로그래밍 언어 PHP에서 심각한 보안 취약점이 발견됐다며 긴급 대응을 촉구했다. 해커가 별도의 로그인 절차 없이 취약한 서버를 장악할 수 있다는 우려가 나오면서 디지털자산 거래소와 지갑 서비스의 보안 문제도 주목받고 있다.

23일 크립토닷뉴스 등 주요 외신에 따르면 미국 연방수사국(FBI)과 국가안보국(NSA) 및 사이버보안·인프라보안국(CISA)은 최근 PHP에서 발견된 두 가지 치명적인 보안 취약점에 대해 관련 기관과 기업에 신속한 보안 업데이트를 권고했다.

이번 취약점은 ‘PHP2Shell’로 불리며 CVE-2026-109618과 CVE-2026-109619로 분류된다. 두 취약점 모두 국제 보안 취약점 평가 체계인 CVSS 4.0 기준 9.2점을 기록했다. 최고점인 10점에 근접한 심각한 수준이다.

로그인 없이 서버 침투 가능…거래소·디파이 보안 우려

PHP는 전 세계 웹사이트와 웹 애플리케이션에서 폭넓게 사용되는 프로그래밍 언어다. 이용자 계정 관리와 인증 및 금융거래 처리 시스템에도 활용된다.

이번에 발견된 취약점은 공격자가 정상적인 인증 절차를 거치지 않고 서버에서 악성 코드를 실행할 수 있다는 점에서 위험성이 크다. 취약한 서버가 공격받으면 내부 파일에 접근하거나 민감한 정보를 탈취하고 추가적인 시스템 침해로 이어질 가능성이 있다.

디지털자산 거래소와 지갑 서비스 제공업체 및 탈중앙화금융(DeFi·디파이) 플랫폼도 영향을 받을 수 있다. 특히 고객 계정과 거래 정보를 처리하는 서버가 취약한 PHP 환경에서 운영된다면 보안 위협에 노출될 수 있다는 지적이다.

다만 PHP 취약점이 발견됐다는 사실만으로 비트코인이나 이더리움 블록체인 자체가 침해됐다는 의미는 아니다. 인터넷과 분리된 환경에서 안전하게 보관된 개인키 역시 이번 취약점으로 자동 유출되는 것은 아니다.

PHP 재단은 지난 21일 PHP 8.5.12와 8.4.27 및 8.3.36·8.2.35 버전을 공개하며 보안 문제에 대응했다. 보안업체 클라우드플레어(Cloudflare)도 관련 공격 트래픽을 확인하고 웹 애플리케이션 방화벽을 통한 차단 조치를 시행했다고 밝혔다.

그러나 방화벽만으로 모든 공격을 차단할 수 있는 것은 아니다. 보안기관들은 취약한 서버를 운영하는 기업들이 최신 보안 패치를 신속히 적용해야 한다고 강조했다.

거래소 자산 인출해야 하나…전면적인 자금 유출 확인 안 돼

보안 위협이 알려지면서 디지털자산 투자자들 사이에서는 거래소에 보관한 자산을 개인 지갑으로 옮기거나 매도해야 하는지를 둘러싼 우려도 제기되고 있다.

하지만 현재 공개된 정보만으로 특정 거래소가 이번 취약점으로 해킹당했거나 고객 자산이 유출됐다고 단정할 근거는 없다.

거래소에서 자산을 인출하면 해당 거래소의 보안 위험에 대한 노출을 줄일 수 있지만 개인 지갑으로 옮기는 과정에서도 위험이 발생할 수 있다. 잘못된 지갑 주소 입력과 피싱 공격 및 복구 문구 유출 등이 대표적이다.

디지털자산을 매도하는 것은 별개의 문제다. 서버 보안 취약점이 발견됐다는 사실이 비트코인이나 이더리움 가격 하락으로 직결되는 것은 아니기 때문이다.

따라서 투자자들은 거래소의 공식 보안 공지와 계정 접속 기록 및 의심스러운 거래 발생 여부를 우선 확인할 필요가 있다.

하드웨어 지갑도 공급망 공격 우려…보안 관리 중요성 부각

이번 PHP 보안 경고와 별개로 하드웨어 지갑의 공급망 보안 문제도 제기됐다.

앞서 하드웨어 지갑 제조업체 레저(Ledger)는 판매업체 크립토빌리스(CryptoBilis)와 관련된 일부 기기에서 악성 하드웨어 장치가 발견된 사건을 조사한 것으로 전해졌다.

관련 보도에서는 5개 블록체인 네트워크의 지갑 311개에서 최대 9300만달러 규모의 피해가 발생했을 가능성이 제기됐다. 다만 해당 금액은 추정치로 최종 확인된 피해 규모는 아니다.

이 사건은 서버 소프트웨어의 취약점을 악용하는 PHP2Shell과 달리 하드웨어 지갑의 유통 과정에서 기기를 변조하는 공급망 공격에 해당한다.

보안 전문가들은 지갑 프로그램을 공식 경로에서 업데이트하고 복구 문구를 외부에 노출하지 않는 등 기본적인 보안 수칙을 준수해야 한다고 강조한다. 특히 복구 문구가 유출된 정황이 있다면 안전한 기기에서 새로운 지갑을 생성해 자산을 이전하는 조치가 필요하다고 조언했다.