로그인 없이 서버 장악 가능한 PHP 취약점·쿠팡 206건 위반…홈페이지와 사업장을 지키는 점검 기준
로그인 없이 서버 장악 가능한 PHP 취약점·쿠팡 206건 위반…홈페이지와 사업장을 지키는 점검 기준
로진메이트 비즈니스 브리핑
2026년 10월 23일 금요일
오늘의 타깃
웹사이트를 외주로 제작했다고 해서 보안 관리까지 모두 개발사 책임이 되는 것은 아닙니다.
어떤 프로그램과 버전을 사용하는지, 누가 업데이트하고 사고가 발생하면 누가 로그와 증거를 보존할지 계약과 실제 운영에서 확인해야 합니다.
사업장 안전도 마찬가지입니다. 사고가 발생한 뒤 합의하거나 산재 신청을 취하했다고 해서 사업주의 보고와 재발방지 의무가 사라지는 것은 아닙니다.
오늘은 PHP의 치명적인 보안 취약점에 따른 긴급 보안경보와 쿠팡 계열사 산업안전·근로기준 기획감독 결과를 살펴봅니다. 두 발표 모두 2026년 10월 22일 공개된 국내 공식 자료입니다.
1. 로그인 없이 서버 명령 실행…PHP 보안 취약점에 사이버위기 ‘주의’ 경보
과학기술정보통신부와 한국인터넷진흥원은 2026년 10월 22일, 웹사이트 제작에 널리 사용되는 PHP에서 치명적인 보안 취약점 2건이 확인됐다며 긴급 보안 업데이트를 요청했습니다.
이번 취약점은 CVE-2026-109618과 CVE-2026-109619이며 위험도는 CVSS 9.2입니다. 공격자는 아이디와 비밀번호 없이 특수하게 조작한 요청을 보내 서버에서 원하는 명령을 실행할 수 있습니다. 공격에 성공하면 웹셸 설치, 고객정보 유출, 홈페이지 변조·마비와 내부망 침투로 이어질 수 있습니다. msit.go.kr
정부는 공격 코드가 공개되고 해외에서 공격 시도가 보고되자 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 상향했습니다. 이는 단순한 업데이트 예고가 아니라 현재 진행 중인 보안 위험에 대한 긴급 대응 단계입니다.
KISA가 안내한 해결 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상입니다. PHP 8.1 이하는 공식 업데이트가 지원되지 않으므로 지원되는 버전으로 전환해야 합니다. 업데이트 후에는 PHP-FPM, Apache, LiteSpeed 등 실제 웹서비스를 재시작하고 적용된 버전을 다시 확인해야 합니다. knvd.krcert.or.kr
원문｜과학기술정보통신부, 「과기정통부, 웹사이트 개발 언어 ‘PHP’ 보안 취약점 관련 긴급 보안 업데이트 및 기술적 조치 당부」, 2026.10.22
대응수칙｜한국인터넷진흥원, 「PHP 보안취약점(PHP2Shell) 관련 기업 보안 대응 수칙」, 2026.10.22
🔎 로진이 주목한 이유
쇼핑몰이나 예약·회원관리 사이트를 외부 업체가 제작했다면 사업자가 PHP 사용 여부를 모를 수 있습니다. 오래된 이벤트 페이지, 테스트 서버, 관리자 화면이나 사용하지 않는 사이트가 그대로 외부에 공개돼 있을 가능성도 있습니다. 호스팅 업체가 관리하는 경우에도 업데이트 적용 여부를 직접 확인해야 합니다.
침해 흔적이 없다면 최신 버전 적용과 재시작, 적용 결과 확인까지 진행해야 합니다. 반면 웹셸이나 비정상 접속 등 침해 정황이 있다면 바로 서버를 재시작해 증거를 없애서는 안 됩니다. 외부 접속을 차단해 격리하고 로그·실행정보 등 증거를 보존한 뒤 신고와 복구를 진행해야 합니다. 외주계약에는 보안 업데이트, 사고 통지, 로그 제공, 증거보존과 손해 대응의 담당자를 구체적으로 정할 필요가 있습니다.
2. 쿠팡 물류센터·배송캠프 감독…206건 위반, 61건 사법처리 예정
고용노동부는 2026년 10월 22일 쿠팡과 쿠팡풀필먼트서비스, 쿠팡로지스틱스의 물류센터·배송캠프 등에 대한 산업안전·근로기준 기획감독 결과를 발표했습니다.
산업안전 분야에서는 105개소를 감독해 「산업안전보건법」 위반 205건을 확인했습니다. 이 가운데 61건은 사법처리하고 144건에는 총 19억 6천여만 원의 과태료를 부과할 예정입니다. 산재 발생사실을 은폐한 정황이 확인된 일부 사안은 범죄인지 후 수사에 착수했습니다. moel.go.kr
3일 이상 휴업이 필요한 부상이나 질병이 발생하면 산업재해조사표를 1개월 이내에 관할 노동관서에 제출해야 합니다. 감독에서는 이를 제출하지 않거나 늦게 제출한 사례 25건이 확인됐습니다. 컨베이어 비상정지장치·덮개와 지게차 접촉방지 조치 미실시, 야간노동자 특수건강진단 미실시, 휴게시설 관리 부적정 등도 적발됐습니다.
근로기준 분야에서는 성과향상프로그램(PIP)을 취업규칙에 작성·신고하지 않은 위반이 확인돼 시정지시와 과태료 부과가 예정됐습니다. 다만 PIP를 통해 근로자를 해고한 사례, 퇴사자 명단을 외부에 공유해 다른 회사 취업을 방해한 사실, 계열사 간 불법파견은 이번 감독에서 확인되지 않았습니다. 따라서 확인된 위반과 법 위반이 인정되지 않은 의혹을 구분해야 합니다. moel.go.kr
원문｜고용노동부, 「쿠팡 산업안전·근로기준 감독 결과 발표」, 2026.10.22
🔎 로진이 주목한 이유
이번 감독을 대형 물류기업에만 해당하는 사례로 보기는 어렵습니다. 컨베이어·지게차를 사용하거나 야간근무를 운영하는 제조·물류·유통 사업장이라면 방호장치, 작업자와 차량의 동선, 특수건강진단, 휴게시설과 산재보고가 동일하게 중요한 점검항목이 될 수 있습니다.
직원이 산재 신청을 취하하거나 회사와 비용을 합의했더라도 법령상 산업재해조사표 제출 대상인지 별도로 확인해야 합니다. 성과향상프로그램을 운영한다면 대상자 선정기준, 교육내용과 기간, 평가방식 및 이의제기 절차가 취업규칙과 실제 운영에 반영돼 있는지도 점검해야 합니다.
📌 로진메이트 자문 포인트
1. 운영 중인 홈페이지를 실제 서버 기준으로 확인하세요.
계약서나 자산목록만 보지 말고 외부에서 접속되는 홈페이지, 이벤트 페이지, 테스트 서버와 관리자 화면을 확인하세요.
외주 개발사·호스팅 업체에 PHP 사용 여부와 버전, 패치 적용일 및 재시작 결과를 서면으로 요청하는 것이 좋습니다.
2. 보안사고 대응 순서를 미리 정하세요.
침해 정황이 있으면 외부 접속 차단, 증거보존, 신고, 원인분석과 복구 순서를 지켜야 합니다.
담당자가 급하게 서버를 재시작하거나 로그를 삭제하지 않도록 비상연락망과 대응 매뉴얼을 마련하세요.
3. 산재 처리와 보고의무를 별도로 관리하세요.
치료비나 합의금 지급, 산재 신청 취하만으로 산업재해 보고 여부를 판단해서는 안 됩니다.
휴업 필요기간, 사고일과 인지일, 조사표 제출기한, 재발방지대책과 제출 여부를 사고별로 기록하세요.
4. 성과관리제도는 취업규칙과 일치시켜야 합니다.
성과가 낮은 직원을 교육·관리하는 제도가 전체 근로자에게 적용된다면 취업규칙 작성·변경 및 신고 대상인지 검토해야 합니다.
선정기준과 목표, 교육기간, 평가자, 이의제기 절차를 명확히 정하고 실제 운영기록도 남겨두는 것이 좋습니다.
홈페이지 보안과 산업안전은 사고가 발생한 뒤의 설명보다 평소의 관리기록이 중요합니다.
업데이트를 외주업체에 맡겼다는 사실이나 직원과 사고처리에 합의했다는 사정만으로 사업자의 확인·보고 책임이 모두 사라지는 것은 아닙니다.
로진메이트 자문으로 외주 유지보수계약과 보안사고 대응절차, 산재보고 및 취업규칙을 함께 점검해 보시기 바랍니다.
※ 본 브리핑은 일반적인 정보 제공을 목적으로 합니다. PHP 업데이트는 서버 환경과 기존 프로그램의 호환성을 시험한 후 적용해야 하며, 침해 정황이 있는 경우 증거보존과 신고 절차를 먼저 검토해야 합니다. 산업재해 보고 및 취업규칙 관련 의무는 근로자 수, 재해 내용, 휴업기간과 제도 운영방식 등에 따라 달라질 수 있습니다.