‘네트워크 경계’ 묶음의 한 편 · 10 / 10 — 처음부터 읽기 →
10월 넷째 주 러브시큐 보안 소식 정리: PHP 보안 경보 '주의'·AI 해킹 대비 보호수칙·정보보호 공시 확대
한 주 동안 나온 보안 기사 가운데 홈페이지를 운영하는 분, 내 계정을 지키려는 분, 회사에서 공시를 맡은 분께 닿는 소식 세 가지를 원문으로 확인하고, 나를 지키려면 무엇을 확인하면 되는지 러브시큐 해설을 붙여 정리했어요.
짧은 답
이번 주 소식은 세 가지예요. 홈페이지를 운영한다면 PHP 버전을 확인해 최신으로 올리고, 개인은 안 쓰는 계정 정리와 2단계 인증을 챙기고, 상장사 담당자는 2027년 정보보호 공시 대상인지 확인하시면 돼요.
이 글의 차례 5
PHP 보안 취약점에 사이버위기 경보 '주의', 즉시 업데이트 권고
웹사이트를 만드는 데 널리 쓰이는 프로그래밍 언어 PHP에서 보안 취약점 2건이 확인되자, 과학기술정보통신부가 22일 12시부터 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 올렸다는 소식이에요. PHP 개발팀은 10월 21일(현지시간) 보안 업데이트를 내놓았고, 한국인터넷진흥원(KISA)은 같은 날 보호나라 누리집에 권고문을 올렸다고 해요. 정부는 운영 중인 홈페이지와 시스템의 PHP 버전을 확인해 최신 버전으로 바로 올리고, 공식 업데이트가 나오지 않는 PHP 8.1 이하는 지원되는 상위 버전으로 옮기라고 당부했어요.
러브시큐 해설이에요. 이게 왜 중요하냐면요, 이번 소식은 홈페이지를 '쓰는' 사람보다 '운영하는' 사람의 숙제이기 때문이에요. 정부 안내에서도 일반 국민은 직접 조치할 일이 없고, 백신과 최신 보안 업데이트 같은 기본 수칙을 지키면 된다고 했어요. 작은 가게나 단체 홈페이지를 맡고 계시다면 오래 손대지 않은 누리집, 외주로 만든 쇼핑몰, 장비 관리 화면까지 목록에 넣어 PHP 버전을 확인해 보세요. 호스팅을 쓰신다면 업체에 업데이트 적용 여부를 물어보는 것으로 시작하면 돼요. 업데이트 뒤에는 웹 서비스를 다시 시작해야 조치가 적용되고, 이상한 접속 기록이 없는지까지 살펴야 한 묶음이 끝난다는 점도 기억해 두시면 마음이 놓여요.
업데이트가 왜 자꾸 미뤄지고 어떤 순서로 챙기면 되는지는 패치 관리의 구조를 다룬 글에서, 경보 속 취약점 번호와 점수를 어떻게 읽을지는 CVE 번호와 심각도 점수를 읽는 법을 정리한 글에서 이어 보실 수 있어요. 출처를 알 수 없는 '공격 시험 코드' 파일은 내려받거나 실행하지 말라는 당부도 함께 나왔으니 참고하세요. 침해가 의심되면 혼자 판단하지 말고 KISA 118 상담이나 보호나라 신고로 먼저 안내를 받으시면 돼요.
출처 · 대한민국 정책브리핑 (2026-10-22)
개인정보위, AI 악용 해킹에 대비한 개인·기업 보호수칙 안내
개인정보보호위원회가 AI를 악용한 해킹으로 생길 수 있는 2차 피해를 막기 위해 개인과 기업·기관이 지킬 보호수칙을 안내했다는 소식이에요. 개인에게는 쓰지 않는 계정을 정리하고 2단계 인증을 쓰는 것, '털린 내 정보 찾기' 같은 공공서비스로 계정 유출이나 명의도용 여부를 주기적으로 확인하는 것, 피해가 의심되면 바로 신고하는 것 세 가지를 당부했어요. 기업·기관에는 보유한 장비와 소프트웨어 현황을 파악하고, 방치된 홈페이지·시스템·계정과 쓰지 않는 외부 연계 API를 정리하라는 수칙 네 가지를 안내했다고 해요.
러브시큐 해설이에요. 막상 해보면 세 가지 가운데 가장 효과가 큰 건 '쓰지 않는 계정 정리'예요. 가입만 해 두고 잊은 사이트가 많을수록 내가 모르는 곳에서 정보가 새어 나갈 길도 많아지거든요. 비밀번호가 유출된 흔적이 보이면 그 사이트 하나만 바꾸지 말고, 같은 비밀번호를 쓰는 다른 계정까지 함께 바꾸시는 게 핵심이에요. 낯선 문자·전화·이메일 속 링크는 누르지 말고 공식 홈페이지나 앱에서 먼저 사실관계를 확인하라는 당부도 함께 나왔어요.
비밀번호 재사용이 왜 위험하고 2단계 인증이 무엇을 막아 주는지는 재사용·길이·2단계 인증의 구조를 정리한 글에서, 그럴듯한 연락에 속지 않는 기준은 피싱과 스미싱이 왜 통하는지 다룬 글에서 이어 보실 수 있어요. 이미 돈이 빠져나갔다면 경찰청이나 해당 금융사 고객센터에 지급정지를 요청하고, 개인정보 침해는 개인정보 침해 신고센터에 알리시면 돼요.
출처 · 뉴시스 (2026-10-19)
정보보호 공시, 2027년부터 코스피·코스닥 상장사 전체로 확대
과학기술정보통신부가 2027년 1월1일부터 매출액과 상관없이 코스피·코스닥 전체 상장법인에 정보보호 공시 의무를 적용한다는 소식이에요. 그동안 쓰이던 '매출액 3000억원 이상' 기준과 공공기관·소기업·금융회사·전자금융업자 등에 대한 예외가 없어지고, 기업인수목적회사(SPAC)는 대상에서 빠진다고 해요. 소기업은 2년 유예를 받아 2029년 1월1일부터 의무가 적용되고, 과기정통부는 새로 대상이 된 기업을 위해 공시 가이드라인과 온라인 상담·교육, 지역별 방문 교육을 운영할 계획이라고 밝혔어요.
러브시큐 해설이에요. 정보보호 공시는 회사가 보안에 얼마나 투자하고 어떤 인력과 활동을 갖췄는지를 바깥에 알리는 제도예요. 상장사에서 보안이나 공시를 맡고 계시다면, 우리 회사가 새 기준으로 언제부터 대상이 되는지부터 확인해 일정표에 넣어 두시면 돼요. 공시는 숫자를 모으는 일이라 보안 투자와 인력, 인증 현황 자료를 평소에 정리해 둘수록 마감이 훨씬 수월해져요. 구체적인 대상 여부와 작성 기준은 회사마다 다를 수 있으니 과기정통부가 내는 가이드라인과 공식 안내를 기준으로 확인하시는 게 가장 정확해요.
공시에 들어갈 보안 활동을 어떻게 체계로 묶는지 감을 잡고 싶으시면 ISMS-P 관리체계 인증의 구조를 정리한 글을, 회사 보안 문서를 어떤 층으로 나눠 두면 되는지는 정책·지침·절차의 층위를 다룬 글을 함께 읽어 보세요. 정리된 문서가 있으면 공시 준비도 한결 가벼워져서 안심이에요.
출처 · 블로터 (2026-10-20)
자주 묻는 질문
PHP 경보가 나왔는데 개인도 뭘 해야 하나요?
정부 안내로는 일반 국민이 직접 할 조치는 없어요. 백신과 운영체제·앱의 최신 보안 업데이트 같은 기본 수칙을 지키시면 되고, 홈페이지를 운영하신다면 PHP 버전 확인과 업데이트를 챙기시면 돼요.
우리 회사가 정보보호 공시 대상인지 어떻게 알 수 있나요?
회사 상황마다 다를 수 있어서 과학기술정보통신부의 정보보호 공시 가이드라인과 공식 안내로 확인하시는 게 가장 정확해요. 새로 대상이 된 기업을 위한 상담과 교육도 운영될 예정이라고 해요.
주간 소식 정리에 나온 숫자는 나중에 바뀔 수도 있나요?
네, 진행 중인 소식은 숫자와 일정이 달라질 수 있어요. 각 소식 아래 출처에서 원문을 확인하시고, 이후 공식 발표가 나오면 그쪽을 기준으로 보시면 돼요.
직접 확인해 보실 곳
확인할 곳
이 글에서 다루는 주제를 맡는 공식 기관입니다. 신고·상담 창구도 여기에 있으니, 실제 상황에서는 아래로 바로 이어 가시면 됩니다.
- 한국인터넷진흥원 침해 사고 신고(118)와 보안 안내, ISMS-P 인증 운영
- 보호나라 보안 공지와 취약점 정보, 사고 신고 창구
- 개인정보보호위원회 개인정보 보호 법·제도와 유출 신고
- 개인정보 포털 내 개인정보 이용 내역 조회와 열람·삭제 요구
- 한국정보통신기술협회 정보통신용어사전 정보통신 표준 용어 뜻 찾기
참고한 자료
- 과기부, 'PHP' 심각한 보안 취약점…'보안 업데이트' 즉시 적용 대한민국 정책브리핑 확인일
이 글은 입문자 기준으로 이해하기 쉽게 정리한 일반 정보이며, 내용은 운영 과정에서 순차적으로 점검·보완될 수 있습니다. 구체적인 절차나 수치는 해당 기관의 공식 안내를 기준으로 확인해주세요.
이 글의 용어
보안 용어 사전에서 한 줄 정의와 쉬운 비유로 다시 볼 수 있어요.