이번 php 보안 관련으로 kcp API키도 새로 재발급 받아야 할까요?

위 답변들처럼 침해 흔적이 없으면 KCP 키는 그대로 두셔도 됩니다. 그래서 먼저 볼 것은 침해 여부인데, 직접 확인하실 수 있는 곳을 적어 둡니다.

1. FTP에서 data/file, data/editor 같은 업로드 폴더를 보세요. 이곳에는 .php 파일이 있으면 안 됩니다.
2. 그누보드·영카트 폴더에서 최근 작업한 적이 없는데 수정 날짜가 최근인 .php 파일이 있는지 보세요.
3. 관리자 페이지의 회원 목록에서 모르는 관리자 계정이 있는지 보세요.
4. 호스팅사에 웹 접근 기록을 요청해, 처음 보는 .php 주소로 들어온 요청이 있는지 보세요.

파일 날짜는 조작될 수 있어서, 위 항목이 깨끗해도 안전하다고 단정할 수는 없습니다. 그래도 키 재발급을 판단하는 기준으로는 쓸 수 있습니다.

흔적이 나오면 KCP 키만 바꿔서는 끝나지 않습니다. 소스가 유출됐다고 보고 서버를 먼저 정리한 뒤, DB·FTP·관리자 비밀번호를 함께 바꾸고 KCP 키는 마지막에 교체하세요. 서버를 정리하기 전에 바꾸면 새 키도 다시 샐 수 있습니다.

그리고 키와 별개로 PHP 7.4는 이번 보안 문제의 수정판이 나오지 않으니 PHP를 올리는 일이 남습니다. 오래된 영카트는 PHP를 올리면 오류가 날 수 있으니, 시험 환경에서 결제까지 확인한 뒤 옮기세요.

안녕하세요.

앞서 답변해 주신 내용처럼 PHP 보안 업데이트만으로 KCP API 인증키를 반드시 재발급할 필요는 없습니다.

다만 현재 사용하시는 PHP 7.4.24 환경에서는 인증키 재발급 여부와 별개로 몇 가지 확인할 부분이 있습니다.

1. 기존 KCP 연동 방식 확인

영카트5에서 기존 pp_cli 방식의 결제 모듈을 사용하는지, REST API 방식으로 연동되어 있는지 먼저 확인하시는 것이 좋습니다.

PHP 버전만으로 KCP 인증 방식을 판단할 수는 없습니다.

1. PHP 업그레이드와 KCP 인증키는 별개

PHP 버전을 변경하더라도 기존 인증정보가 정상적으로 유지되고 노출되지 않았다면 단순히 버전 변경을 이유로 재발급할 필요는 없습니다.

다만 기존 실행 파일 방식에서 KCP REST API 방식으로 변경하는 경우에는 새로운 연동 방식에 필요한 서비스 인증서와 개인키를 준비해야 할 수 있습니다.

이 부분은 기존 키의 보안상 재발급과는 다른 문제입니다.

1. PHP 버전 업그레이드 점검

PHP 7.4는 공식 보안 지원이 종료된 버전이므로 지원 중인 PHP 버전으로 업그레이드하시는 것을 권장드립니다.

이때 영카트 버전, 사용 중인 플러그인, 결제 모듈의 PHP 호환성도 함께 확인해야 합니다.

1. 운영 서버 적용 전 확인

소스 및 DB 백업 후 테스트 환경에서 결제 승인, 취소, 주문 상태 변경, 가상계좌 입금 처리 등을 검증하는 것이 안전합니다.

특히 인증서나 개인키를 새로 발급받는 경우 기존 인증정보를 먼저 폐기하면 운영 중인 결제와 취소 기능에 문제가 생길 수 있으므로 KCP 측에 교체 절차를 확인하시는 것이 좋습니다.

정리하면, 현재 서버에 침해나 키 유출 정황이 없다면 기존 인증키를 유지하셔도 되지만, KCP 연동 방식을 변경한다면 필요한 인증정보와 교체 절차를 별도로 확인하시면 됩니다.

또한 PHP 업그레이드는 KCP 인증키 재발급과 구분하여 진행하시는 것을 추천드립니다.

결론부터 말씀드리면, 이번 PHP 및 그누보드 보안 문제로 인해 KCP API 키를 새로 발급받으실 필요는 없습니다.

KCP API 키(인증키/개인키)는 PG 결제 연동을 위한 인증 수단이므로, 서버의 일반적인 파일 업로드나 소스코드 취약점 보안 패치(그누보드/PHP 업데이트 등)와는 별개입니다. 다만, 서버가 해킹되어 소스코드가 완전히 유출되었다는 정황이 있다면 예외적으로 재발급을 고려할 수 있으나, 일반적인 보안 점검 차원에서는 기존 키를 그대로 유지하셔도 됩니다.

참고로 키를 재발급해야 하는 경우:

• 개인키 파일(.pem 등)을 분실했거나 외부로 완전히 유출된 경우

• KCP API 인증서 유효기간(5년)이 만료된 경우

재발급 방법:

• KCP에 별도로 전화 문의를 하실 필요는 없으며, [KCP 파트너관리자] 로그인 > 기술관리센터 > 인증센터 > KCP-PG API 메뉴에서 직접 폐기 후 재발급(또는 유효기간 만료 전 연장)이 가능합니다.

“새로 받으려면 어디로 문의하나요?” 부분을 보완드립니다. 먼저 현재 모듈이 사용하는 인증정보가 기존 ppcli 방식의 site_key인지, PG-API 방식의 서비스 인증서·개인키인지 구분해 주세요. PHP 버전만으로 어느 방식을 쓰는지는 알 수 없습니다.

PG-API의 운영 인증서·개인키는 KCP 파트너관리자에 로그인한 뒤 “기술관리센터 → 인증센터 → KCP-PG API”에서 발급합니다. 기존 site_key 방식이라면 여기서 받은 인증서를 해당 설정란에 그대로 넣는 방식은 아닙니다. KCP 기술지원에 영카트 버전과 현재 연동방식을 알려 재발급 또는 전환 절차를 확인하시면 됩니다.

KCP 공식 안내는 개인키를 폐기하면 기존 인증서로 승인·취소·조회 등 모든 서비스를 이용할 수 없다고 명시합니다. 따라서 재발급이 필요하더라도 기존 키부터 폐기하지 말고, 교체 적용과 결제·취소 검증 일정을 먼저 확인해 주세요. 실제 키값이나 개인키 파일은 공개 게시판에 올리지 않으셔도 됩니다.

공식 발급 안내: https://developer.kcp.co.kr/guide/pg-api
인증방식 전환 설명: https://developer.kcp.co.kr/guide/rest-api-guide

PHP보안과 

KCP api는 서로 연관관계가 없지만

해킹/보안침해가 두개를 연결할수있는 요소라서

보안취약에 대한 의심이 되시거나, 불안하시면 

재발급이 맞겠습니다

그리고실재로 보안/해킹이 확인되면

서버를 재구성하시고 모든 Key도 재발급 받아서 새로 설정하셔야 안전할수있습니다.

단, 실제 침해가 아닌데 이렇게 재발급 받을 필요는 없어보입니다.

os PHP서버와 별도로 ,이문제는 idc 사 서버관리자에게 문의하시기 바라면됩니다.
그리고 php 언어는 2026년 10월 21일 PHP 공식 발표와 KISA 보안 공지에서 수정 버전을 공개했습니다.
PHP: 7.4.24  >.  8.2.35 이상르로 가셔야합니다. 선생님
kcp인증서는 꼭받을 필요는없지만 이는 이번사관과 무관하다라는것이지요. 그래도 상담은 해보시기 바랍니다.

API키를 새로 받으실 필요는 없지만, 침해가 의심되거나 더 안전하게 운영하고 싶으시다면 재발급 받으시는 것도 충분히 고려하실 수 있습니다.

침해가 의심되는 상황이시면 먼저 관련 조치를 완료하신 후 적용하셔야 합니다.