해킹된 사이트에 접속만 해도 감염될까? PHP 취약점과 방문자

MacWindowsiPhoneAndroid업데이트

PHP2Shell은 웹사이트 서버에서 동작하는 소프트웨어의 취약점이고, 여러분의 휴대전화나 컴퓨터의 취약점이 아닙니다. PHP로 만든 사이트에 접속한다고 해서 이 취약점이 내 기기로 옮겨 오지는 않습니다. 방문자에게 위험이 생기는 것은 공격자가 사이트를 장악해 보여 주는 내용을 바꾼 다음입니다. 이 글은 2026년 10월 23일 기준 정보입니다.

간단한 답변

2026년 10월 21일 공개된 PHP 취약점은 웹 요청을 처리하는 PHP, 즉 웹서버의 문제입니다. 사이트에 접속해도 내 기기에서 PHP가 실행되지는 않습니다. 하지만 Google은 해킹된 사이트가 방문자를 유해한 페이지로 보내거나, 피싱 페이지를 올리거나, 사용자 컴퓨터에 악성 콘텐츠를 설치할 수 있다고 설명합니다. 브라우저를 최신으로 유지하고, 예상하지 못한 다운로드는 피하고, 로그인 전에 주소를 확인하세요.

웹사이트의 PHP 취약점은 방문자와 어떤 관계가 있나요?

취약점은 사이트의 서버에 있습니다. PHP 매뉴얼에 따르면 PHP 코드는 서버에서 실행되고, 서버가 HTML을 만들어 브라우저에 보냅니다. 브라우저는 결과만 받고 PHP 코드는 보지 못합니다. CVE-2026-109618과 CVE-2026-109619에 대한 PHP 권고문은 위험한 대상을 웹 요청을 처리하는 PHP 설치라고 밝힙니다.

KISA(한국인터넷진흥원)의 대응 수칙은 PHP를 사용하는 기업을 대상으로 하며, 핵심은 업데이트입니다. KISA는 공격에 성공하면 원격조종 파일(웹셸) 설치, 고객정보 유출, 홈페이지 변조 등이 가능하다고 설명합니다. 방문자에게 PHP2Shell이 의미를 갖는 것은 바로 이 마지막 경우, 내가 이용하는 사이트가 장악되어 보이는 내용이 바뀌는 경우입니다.

해킹된 사이트는 방문자에게 무엇을 할 수 있나요?

Google의 스팸 정책은 해킹된 콘텐츠가 사용자의 컴퓨터에 악성 콘텐츠를 설치할 수 있다고 설명하며, 다음 같은 예를 듭니다.

  • 기존 페이지 바꾸기. 해커가 사이트의 기존 페이지에 악성 코드를 삽입하려 할 수 있으며, 흔히 악성 자바스크립트 형태라고 합니다.
  • 다른 곳으로 보내기. 악성 코드를 삽입해 일부 사용자를 유해한 페이지나 스팸 페이지로 리디렉션할 수 있다고 합니다.
  • 새 페이지 추가하기. 스팸이나 악성 콘텐츠가 담긴 새 페이지를 추가할 수 있고, 대개 검색엔진을 조작하거나 피싱을 시도하기 위한 페이지라고 합니다.

Chrome 도움말은 위험한 사이트의 위험으로 피싱, 소셜 엔지니어링, 컴퓨터에 멀웨어나 원치 않는 소프트웨어를 설치하려는 시도를 꼽습니다. 또 일부 사이트는 바이러스가 있다며 유해한 소프트웨어를 다운로드하도록 유도할 수 있으니 조심하라고 합니다.

이 가운데 상당수는 다운로드를 허용하거나 가짜 페이지에 비밀번호를 입력하는 것처럼 방문자가 무언가를 해야 통합니다. 아래 습관은 바로 그 순간을 위한 것입니다.

위험한 사이트는 브라우저가 경고해 주나요?

경고할 수 있습니다. 주요 브라우저마다 경고 기능이 있습니다.

  • Mac의 Safari. Safari > 설정을 선택한 다음 보안을 클릭합니다. Apple에 따르면 "위조된 웹사이트 방문 시 경고"는 방문 중인 사이트가 피싱 웹사이트로 의심될 때 경고합니다.
  • Chrome. Google에 따르면 Chrome은 피싱, 멀웨어, 원치 않는 소프트웨어, 소셜 엔지니어링 사이트를 발견하면 "위험한 사이트"라는 빨간색 경고를 표시할 수 있고, 이 경고가 보이면 방문하지 않는 것이 좋다고 합니다. 컴퓨터에서는 오른쪽 상단의 더보기 > 설정 > 개인 정보 및 보안 > 보안에서 세이프 브라우징 보호 수준을 볼 수 있습니다. Google은 세이프 브라우징을 끄지 말라고 권합니다.
  • Microsoft Edge. Microsoft에 따르면 SmartScreen은 신고된 피싱 사이트와 악성 소프트웨어 사이트 목록과 비교해 사이트를 확인하고, 다운로드도 안전하지 않다고 알려진 프로그램과 비교합니다. 일치하면 차단하고 안전을 위해 차단되었다고 알려 줍니다.

이런 목록은 신고되거나 감지된 사이트에 기대고 있습니다. Microsoft 도움말도 경고가 뜨지 않은 사이트를 신고하는 "Report unsafe website" 기능을 안내합니다. 경고가 없다는 것은 경고가 없다는 뜻일 뿐, 사이트가 안전하다는 증거는 아닙니다.

웹사이트를 이용할 때 나를 지키려면?

몇 가지 습관이 Google이 설명하는 위험 대부분을 막아 줍니다.

  1. 브라우저와 기기를 최신으로 유지합니다. 영국 국가사이버보안센터(NCSC)는 보안 업데이트를 바로 적용하면 기기와 계정을 지키는 데 도움이 된다며, 가능하면 자동 업데이트를 켜라고 합니다.
  2. 찾지 않은 파일은 내려받지 않습니다. Apple은 원치 않거나 악성인 소프트웨어를 피하려면 App Store에서 설치하거나 개발자 웹사이트에서 직접 다운로드하라고 권합니다. Mac에서는 서명과 공증을 받지 않은 소프트웨어를 실행하면 컴퓨터와 개인 정보가 악성 프로그램에 노출될 수 있다고 경고합니다.
  3. 비밀번호를 입력하기 전에 주소를 확인합니다. Apple은 링크가 문제없어 보여도 URL이 해당 회사의 웹사이트와 일치하지 않는 경우를 경고합니다. Mac에서는 링크에 포인터를 올리면 URL이 보이고, iPhone이나 iPad에서는 링크를 길게 터치하면 됩니다.
  4. 비밀번호 관리자를 씁니다. NCSC는 비밀번호 관리자를 쓰면 서비스마다 다른 비밀번호를 쓸 수 있고, 비밀번호가 올바른 웹사이트에서만 자동으로 채워지므로 피싱을 막는 데도 도움이 된다고 설명합니다.
  5. 2단계 인증을 켭니다. NCSC는 범죄자가 비밀번호를 알아도 계정에 들어오지 못하게 막는 데 도움이 된다고 말합니다.

이미 비밀번호를 입력했거나 무언가를 내려받았다면?

한 일에 맞춰 대처합니다. 비밀번호라면 NCSC는 같은 비밀번호를 쓰는 모든 계정의 비밀번호를 바꾸고, 가능하면 패스키를 쓰는 것도 생각해 보라고 합니다. 내려받은 파일이라면 백신 소프트웨어가 있을 경우 전체 검사를 하고 발견된 것을 정리하라고 합니다.

문자나 메신저로 받은 링크가 미심쩍다면 KISA 보호나라의 스미싱 확인서비스를 쓸 수 있습니다. KISA는 받은 메시지를 직접 물어보면 정상, 주의, 악성 중 하나로 답해 준다고 설명합니다. 해킹이나 개인정보 침해가 걱정되면 국번 없이 118에서 상담을 받을 수 있습니다. 범죄 피해를 입어 수사를 원한다면 경찰청 사이버범죄 신고시스템(ECRM)에서 신고서를 미리 작성한 뒤 관할 경찰서를 방문해 접수하면 됩니다.

Failshot에 대해

Failshot은 다른 상황, 즉 누군가 그 자리에서 직접 내 Mac을 쓰는 상황을 위한 Mac용 두 번째 보안 계층(second layer device security)입니다. 비밀번호가 첫 번째 계층이고, Failshot은 그다음 계층입니다. Failshot이 켜져 있으면 Mac의 잠금을 해제한 사람의 사진을 찍고, Pro에서는 이어서 5초 동영상도 녹화합니다. Failshot 창은 잠금을 해제한 사람에게 그 잠금 해제가 촬영되었다고 알립니다. Failshot을 끄거나 메뉴에서 종료하려면 Touch ID 또는 Failshot PIN과 답변이 필요하며, Mac 암호로는 할 수 없습니다.

Mac 앱은 macOS 14 이상에서 무료로 다운로드할 수 있습니다. 무료로 사용할 수 있습니다. Pro는 동영상, 이메일 알림, 암호화된 보관함을 더합니다. failshot.app에서 Failshot Pro를 7일 동안 무료로 써 볼 수 있습니다. 가입할 때 카드를 등록하며, 해지하지 않으면 8일째에 요금이 청구됩니다. iPhone, Android, Windows 버전은 출시 예정입니다. 앱은 영어로만 제공됩니다.

자주 묻는 질문

PHP 취약점이 있는 사이트에 접속해도 괜찮은가요?

취약점은 사이트의 서버에 있고, PHP 매뉴얼에 따르면 PHP는 브라우저가 아니라 서버에서 실행됩니다. 방문자가 조심할 것은 장악된 사이트입니다. 그런 곳에서는 예상하지 못한 다운로드, 다른 페이지로의 이동, 로그인 요구를 경계하세요.

위험한 사이트에 들어갔다가 바로 나왔다면요?

무엇을 입력했고 무엇을 내려받았는지에 따라 다릅니다. 비밀번호를 입력했다면 위 단계대로 바꾸고, 파일을 내려받았다면 검사하세요. 아무것도 입력하거나 내려받지 않았다면 브라우저와 운영체제를 최신으로 유지하는 기본 습관을 이어 가면 됩니다.

사이트가 PHP를 쓰는지 알 수 있나요?

확실히는 알 수 없습니다. PHP 매뉴얼은 웹서버가 모든 페이지를 PHP로 처리하도록 설정할 수 있고, 그러면 사용자는 PHP가 쓰이는지조차 알 수 없다고 설명합니다.

사이트 운영자는 해킹을 알아차리나요?

항상 그렇지는 않습니다. Google은 해커가 사이트 소유자가 감지하지 못하도록 클로킹 기술로 스팸성 콘텐츠를 숨길 수 있다고 설명합니다. 그러니 익숙한 사이트에서도 다운로드와 비밀번호 입력에는 같은 주의가 필요합니다.

PHP2Shell이 실제로 웹사이트 공격에 쓰였나요?

2026년 10월 23일 기준으로, 미국 CISA는 10월 21일 경보(10월 23일 개정)에서 발표 시점 기준으로 이 취약점들이 실제 환경에서 성공적으로 악용된 것을 관찰하지 못했다고 밝혔습니다. KISA는 10월 22일 해외 보안업체를 중심으로 공격 시도가 보고되고 있다고 밝혔습니다. PHP 개발팀은 수정 버전만이 완전한 해결책이라고 말합니다.

스마트폰에도 영향이 있나요?

직접적으로는 없습니다. PHP2Shell은 웹 요청을 처리하는 PHP, 즉 서버에 영향을 줍니다. 다만 해킹된 사이트는 어떤 기기에서든 가짜 로그인 페이지나 다운로드를 보여 줄 수 있으므로, 업데이트, 주소 확인, 2단계 인증이라는 같은 습관이 도움이 됩니다.

출처