일본에서 철도회사와 은행, 온라인 쇼핑몰, 지방자치단체 등의 홈페이지가 비슷한 시기에 잇따라 중단되는 일이 발생했습니다. 서로 관련이 없어 보이는 서비스들이 동시에 긴급 점검에 들어간 이유는 웹사이트 운영에 널리 사용되는 프로그래밍 언어 PHP에서 심각한 보안 취약점이 발견됐기 때문인데요. 일본 정부가 신속한 보안 조치를 요청하면서 2026년 10월 21일부터 여러 기업과 기관이 예방 차원에서 일부 서비스를 멈췄습니다.
이번 일을 모든 사이트가 해킹당한 사건으로 받아들여서는 안 됩니다. 실제 침해 사고가 확인된 경우와 위험을 막기 위해 서비스를 잠시 중단한 경우는 다릅니다.
PHP에 어떤 문제가 발견됐을까
PHP는 웹사이트에서 로그인, 검색, 상품 정보 처리처럼 서버에서 이루어지는 다양한 기능을 만드는 데 사용하는 프로그래밍 언어입니다. 일반 이용자는 직접 보지 못하지만, 수많은 웹서비스의 내부에서 작동하고 있죠.
2026년 10월 21일 PHP의 중대한 보안 취약점이 공개되면서 이를 사용하는 서비스의 안전성 확인이 필요해졌습니다. 취약점은 프로그램에 존재하는 보안상 약점을 뜻합니다. 공격자가 악용할 가능성이 있다는 의미이지, 그 약점이 발견됐다는 사실만으로 정보 유출이나 해킹이 발생했다고 단정할 수는 없습니다.
일본 국가사이버통괄실은 수정 프로그램을 신속히 적용하고, 즉시 대응하기 어려운 경우에는 웹사이트를 일시적으로 중단하는 방안도 권고했습니다. 수정 프로그램은 21일 밤 공개됐으며 각 운영사는 적용과 정상 작동 여부를 확인하는 절차에 들어갔습니다.
철도 홈페이지와 금융 서비스까지 긴급 점검
간사이 지역에서는 게이한홀딩스가 21일 오후 9시 무렵부터 홈페이지를 일시 중단했습니다. 게이한전철의 운행 관련 웹페이지도 영향을 받았으며, 한큐전철과 한신전철 역시 일부 홈페이지나 웹서비스의 중단 방침을 알렸습니다.
게이큐전철은 주주우대 포인트 신청 전용 사이트에 대해 21일 오후 6시 30분 무렵부터 긴급 점검을 시작했다고 공식 공지했습니다. 점검 중에는 해당 사이트 로그인과 신청 절차를 이용할 수 없다고 안내했습니다.
금융권에서도 시즈오카은행과 시치주은행 등이 일부 서비스를 일시 중단했습니다. 다만 전국은행협회는 은행 간 결제 관련 영향이 확인되지 않았다고 밝혔습니다. 일부 은행의 인터넷 서비스 중단을 일본 전체 은행 결제망의 마비로 해석해서는 안 됩니다.
게임회사와 지방자치단체도 대응
세가는 자사 제품정보 사이트에 대해 21일 오후 10시 55분부터 긴급 점검을 실시했다고 22일 공식 발표했습니다. 점검 중에는 제품정보 사이트의 모든 페이지를 이용할 수 없고 오류 화면이 표시된다고 설명했습니다. 이는 세가의 모든 게임 서비스가 중단됐다는 뜻은 아닙니다.
오사카부도 21일 오후 11시 40분부터 홈페이지의 일부 검색 기능을 일시 정지했습니다. 보도자료 검색과 신청·신고 검색, 자주 묻는 질문 검색 등이 대상이었으며, 수정 프로그램 적용과 안전성 확인을 거쳐 재개할 예정이라고 밝혔습니다. 오사카부는 공지 시점에 이번 취약점과 관련된 부정 접근이나 정보 유출이 확인되지 않았다고 설명했습니다.
왜 서로 다른 기업의 사이트가 한꺼번에 멈췄을까
철도와 은행, 쇼핑몰은 사업 분야가 다르지만 웹사이트 내부에서는 같은 개발 언어나 소프트웨어를 사용하는 경우가 많습니다. 공통으로 사용하는 기술에서 심각한 문제가 발견되면 업종과 관계없이 여러 운영사가 비슷한 시기에 대응해야 합니다.
특히 취약점이 공개된 직후에는 공격 가능성을 줄이는 것이 중요합니다. 수정 프로그램을 적용하기 전까지 일부 기능을 차단하거나 사이트를 점검 화면으로 전환하는 조치는 이용자에게 불편을 주지만, 피해를 예방하기 위한 선택일 수 있습니다. 실제로 일부 기업은 점검 후 서비스를 재개했고, 일부는 안전성 확인이 끝날 때까지 재개 시각을 정하지 않았습니다.
이용자와 워드프레스 운영자가 확인할 점
일반 이용자는 평소 접속하던 사이트가 갑자기 열리지 않더라도 곧바로 개인정보가 유출됐다고 생각할 필요는 없습니다. 해당 기업의 공식 공지에서 중단 대상과 복구 여부를 확인하는 것이 우선입니다. 점검 안내를 사칭한 문자나 이메일이 오면 링크를 바로 누르지 말고 공식 사이트나 앱에서 직접 확인하는 편이 안전합니다.
워드프레스 등 PHP 기반 웹사이트를 직접 운영한다면 호스팅 업체의 보안 공지를 살펴볼 필요가 있습니다. 서버에서 사용하는 PHP 버전과 수정 프로그램 적용 여부를 확인하고, 업데이트 전에는 백업과 호환성 점검을 준비하는 것이 좋습니다. 워드프레스 자체 업데이트만으로 서버의 PHP 취약점이 모두 해결된다고 가정해서는 안 됩니다.
이번 사태는 특정 기업 한 곳의 장애라기보다 널리 쓰이는 웹 기술의 보안 문제가 여러 서비스에 동시에 영향을 줄 수 있다는 점을 보여줍니다. 다만 서비스별 중단 범위와 복구 시점은 서로 다르므로 최신 운영사 공지와 보안 업데이트 적용 여부를 개별적으로 확인해야 합니다.
참고 자료: FNN · 교도통신 · 게이큐전철
