지난주에 공문을 받으셨다며 연락 주신 원장님들이 계셨습니다.
내용은 비슷했습니다. 홈페이지에 쓰이는 PHP라는 것에 심각한 보안 취약점이 발견됐으니 점검하고 조치하라는 것. 그런데 우리 홈페이지가 PHP로 만들어졌는지부터 모르겠다는 말씀이셨습니다.
당연한 일입니다. 홈페이지를 무엇으로 만들었는지는 보통 제작사만 압니다.
정리해 드리겠습니다.
10월 21일, PHP라는 언어에서 취약점 두 건의 상세 내용이 공개됐습니다. 심각도는 10점 만점에 9.2점. 로그인 없이 서버에 명령을 실행할 수 있다는 것이 핵심입니다.
다음 날 과학기술정보통신부가 사이버위기 경보를 '주의' 단계로 올렸고, 23일에는 개인정보보호위원회가 긴급 권고를 냈습니다. 행정안전부는 지자체와 공공기관에 공문을 보냈습니다. 원장님들이 받으신 공문이 이 흐름에서 나온 것입니다.
PHP는 전 세계 웹사이트의 상당수가 쓰는 언어입니다. 국내에서도 취약한 상태로 노출된 서버가 11만 대 가까이 될 것으로 추산되고 있습니다.
여기가 중요합니다. 이건 "홈페이지가 멈출 수 있다"는 경고가 아닙니다.
개인정보보호위원회가 나선 이유는 하나입니다. 홈페이지가 뚫리면 그 홈페이지만 털리는 게 아니라, 연결된 데이터베이스의 개인정보가 통째로 나갑니다.
병원 홈페이지에는 무엇이 쌓여 있습니까. 상담 신청자의 이름과 연락처, 상담 내용, 어떤 병원은 환자가 보내온 구강 사진까지 있습니다. 진료 기록이 아니더라도 민감한 정보입니다.
그래서 이번 공문은 보안 사안이 아니라 개인정보 사안으로 다뤄지고 있습니다. 외주 개발사와 호스팅 업체까지 점검 범위에 들어간 것도 그 때문입니다.
일본에서는 이미 제약협회와 약사회 사이트들이 문을 닫았고, 오사카의 한 의료센터는 암 검진 예약 사이트를 중단했습니다.
PHP로 만들어진 홈페이지라면 해당됩니다.
국내 병원 홈페이지는 상당수가 그누보드 아니면 워드프레스로 만들어져 있습니다. 둘 다 PHP입니다. 보안업계에서도 이 두 가지를 주요 점검 대상으로 지목했습니다.
반대로 다른 기술로 만든 홈페이지라면 이번 건과는 무관합니다. 저희가 관리하는 병원 홈페이지 중에도 PHP가 아닌 곳들이 있습니다.
문제는 원장님이 그걸 알 방법이 마땅치 않다는 것입니다.
제작사나 호스팅 업체에 물어보시는 것입니다. 질문은 네 가지면 됩니다.
우리 홈페이지가 PHP로 만들어졌습니까. 그렇다면 버전이 몇입니까
이번 취약점(CVE-2026-109618 · CVE-2026-109619)이 운영 중인 서버에 반영됐습니까. 반영했다면 언제 했습니까
패치 후 웹서비스를 재시작했습니까
침해 흔적을 점검했습니까
3번과 4번이 자주 빠집니다. 패치만 깔고 재시작하지 않으면 구버전이 그대로 돌아갑니다. 그리고 이번 건은 패치보다 공격이 나흘 빨랐습니다. 10월 17일에 이미 공격자들이 대상을 찾아다닌 정황이 포착됐고, 21일 저녁 하루에만 수백만 건의 공격 시도가 차단됐습니다. 그러니 패치했다고 끝이 아니라 그 이전에 무슨 일이 있었는지를 봐야 합니다.
홈페이지 주소 뒤에 /bbs/ 를 붙였을 때 게시판이 열리거나, 메뉴 주소 끝에 .php 가 붙어 있다면 PHP일 가능성이 높습니다. 워드프레스라면 관리자 화면의 도구 → 사이트 건강 → 정보 → 서버에서 PHP 버전이 보입니다.
다만 이건 참고일 뿐입니다. 요즘은 주소에 확장자를 숨기는 경우가 많아서, 안 보인다고 PHP가 아닌 것은 아닙니다. 확실한 답은 관리 주체만 줄 수 있습니다.
대부분은 패치로 끝납니다. 이 말씀을 먼저 드리고 싶습니다.
지금 PHP 8.2 이상을 쓰고 계시다면, 호스팅 업체가 최신 버전으로 올려주고 서비스를 재시작하면 됩니다. 비용 들 일도, 홈페이지를 새로 만들 일도 없습니다.
끝나지 않는 경우는 이렇습니다.
이 버전들은 공식 지원이 끝나서 고칠 패치가 나오지 않습니다. 8.3 이상으로 올리는 수밖에 없습니다.
그런데 PHP는 버전이 올라가면 옛 코드가 깨집니다. 몇 년 전에 만든 그누보드에 손을 안 댄 상태라면, PHP를 올리는 순간 게시판이 안 열리거나 관리자 로그인이 안 되거나 이미지가 깨집니다. 개발자 커뮤니티에 이 문제로 올라온 질문이 수없이 많습니다.
그걸 고치려면 코드를 손봐야 하는데, 만든 업체와 연락이 끊긴 상태라면 사실상 새로 만드는 비용이 듭니다.
이건 저희 영역이 아닙니다. 분명히 말씀드립니다.
웹셸이 심어졌거나 데이터가 빠져나간 정황이 보이면, 서버를 끄지 말고 외부 접근만 차단한 뒤 한국인터넷진흥원(KISA) 118로 신고하셔야 합니다. 증거를 보존해야 하기 때문에 임의로 파일을 지우거나 고치시면 안 됩니다.
마케팅 회사가 손댈 일이 아니고, 손대면 안 되는 일입니다.
홈페이지를 어차피 다시 만들어야 하는 상황이라면, 한 가지만 더 생각해 보셨으면 합니다.
저희가 지난달 치과 39곳을 대상으로 80일 동안 AI 검색 3,695건을 측정했습니다. 환자가 AI에게 "○○에서 임플란트 잘하는 치과 추천해줘"라고 물었을 때, AI가 무엇을 읽고 답하는지를 본 것입니다.
인용된 출처의 68.2%가 병원 홈페이지였습니다. 블로그는 5.8%, 인스타그램과 유튜브는 합쳐서 0.2%였습니다. 자세한 내용은 「치과 AI 검색, 4천 건을 측정했습니다」에 정리해 두었습니다.
예전에 홈페이지는 환자가 마지막에 확인하러 들르는 곳이었습니다. 지금은 AI가 우리 병원을 설명하기 위해 가장 먼저 읽는 자료입니다.
그런데 보안 때문에 홈페이지를 다시 만들면서 이 부분을 빼고 만들면, 몇 년 뒤에 또 같은 이유로 다시 만들게 됩니다. 같은 비용으로 두 가지를 할 수 있는데 하나만 하는 셈입니다.
급하게 결정하지 마시고, 다시 만들어야 한다면 무엇까지 담을지를 먼저 정하시기 바랍니다.
이런 일이 생기면 꼭 따라오는 것이 있습니다. 불안한 틈을 노린 제안들입니다.
공문에는 기한이 없습니다. 하루 이틀 안에 결정하셔야 할 일이 아닙니다. 급하다고 몰아붙이는 쪽이 있다면 그 이유부터 물어보셔야 합니다.
견적을 받으시면 네 가지를 확인해 보십시오.
지금 PHP 버전이 몇인지 먼저 확인했습니까. 확인도 안 하고 "전면 재구축해야 합니다"부터 말하는 곳이라면 다시 보셔야 합니다
패치로 끝나는 건인지 아닌지를 설명합니까. 설명 없이 견적서부터 오면 그건 진단이 아니라 판매입니다
보안 솔루션을 끼워 팔고 있지는 않습니까. 월정액으로 묶인 항목이 있다면 그게 지금 꼭 필요한 것인지 따로 물어보십시오
새로 만드는 홈페이지의 도메인과 계정 명의가 병원입니까. 이게 가장 자주 넘어가는 부분입니다
마지막 항목이 중요합니다. 급한 마음에 새로 만들었는데 도메인과 계정이 또 대행사 명의로 되어 있으면, 나중에 업체를 바꿀 때 그동안 쌓은 것을 두고 나와야 합니다. 이 얘기는 「치과 마케팅 비용이 싼 이유」에서 따로 다뤘습니다.
대부분은 패치로 끝납니다. 호스팅 업체에 확인만 하시면 됩니다
PHP 8.1 이하라면 버전을 올려야 하고, 오래된 홈페이지는 올리는 과정에서 깨질 수 있습니다
침해 흔적이 보이면 KISA 118. 임의로 손대지 마십시오
다시 만들어야 한다면, AI가 읽을 수 있는 구조까지 함께 생각하십시오
기한이 없는 일입니다. 급하게 결정하지 마십시오
우리 홈페이지가 무엇으로 만들어졌는지, AI 검색에서는 어떤 상태인지 확인해 보고 싶으시면 말씀해 주십시오. 확인해서 정리해 드리겠습니다.