여진 이어지는 ‘PHP 쇼크’…보안 사각지대에 정부 대응 ‘촉구’

확인된 결함 3건…고객정보 유출·홈페이지 마비도
현 제도상 국내 사용 현황·패치 여부 확인 힘들어
"유지보수 끝난 사이트·지자체 내 방치 사례 다수"
과기부, 중소기업 조치 추진…"전 부처 원팀 대응"

세계적으로 쓰이는 프로그래밍 언어 'PHP'의 보안 결함 공개 후 취약점 추가 발견과 공격시도 사례 포착 등 여진이 이어지고 있다. 홈페이지 마비를 유발할 수 있는 취약점에 노출된 국내 서버가 다수로 추정되는 만큼, 이에 대응할 수 있는 정부 차원의 대책 마련이 요구된다. 전문가들은 인공지능(AI)을 앞세운 공격 확대에 대응 주기의 단축이 필요하다고 지적한다.

26일 업계에 따르면 PHP 개발진이 현재까지 확인한 보안결함은 총 3개로, 그중 최근 확인된 결함은 이전 배포된 업데이트 파일을 적용해도 방어가 불가능한 것으로 확인됐다. 전 세계 웹사이트의 약 70% 이상이 사용하는 프로그래밍 언어인 PHP는 홈페이지와 온라인 쇼핑몰, 게시판, 관리자 페이지 등 다양한 웹 서비스를 만들고 운영하는 데 쓰이고 있다.

지난 21일(현지시간) PHP 개발진이 발견한 취약점인 'PHP2Shell' 2건은 공격자가 별도 로그인이나 인증 작업 없이 외부에서 서버 내에 특수하게 조작된 요청을 보낼 수 있게 한다. 이를 통한 공격이 성공할 경우 서버 내 원격조종 파일 설치나 고객 정보 유출, 홈페이지 변조 및 마비 등의 피해가 유발될 수 있다.

PHP의 보안 취약점 발견에 따른 사이버 공격의 우려는 이미 가시화되고 있다. 싱가포르 사이버보안 기업 '사이퍼마'는 폐쇄형 네트워크 'I2P'에서 한국어를 사용하는 조직원들이 PHP 취약점을 이용한 사이버 공격을 모의하는 정황을 포착했다.

이번 보안결함 발견으로 신속한 대응이 요구되지만 현 제도상 조치가 힘든 영역도 존재한다. 특히 국내의 PHP 사용 규모와 버전 및 패치 여부 등을 정확히 파악하기 힘든 상황이다. 이상중 한국인터넷진흥원(KISA) 원장은 지난 23일 국회 과학기술정보방송통신위원회 과학기술정보통신부 종합감사에서 "취약 버전 사용 현황과 패치 완료 여부에 대해 파악되지 않고 있다"며 "현재 국내 규정상 KISA가 해당 시스템에 대한 스캐닝 등을 할 수 없다"고 말했다.

취약점 공개 이후 KISA는 기업들에 운영 중인 홈페이지와 시스템의 PHP 사용 여부 및 버전 확인과 보안 업데이트 적용을 권고하고 있다.

전문가들은 자체적인 방어벽 구축이 힘든 일부 사례를 고려하는 한편, 변화하는 공격 패러다임에 대응할 수 있는 대책이 필요하다고 지적한다. 이기혁 중앙대 보안대학원 교수는 "국내는 유지보수가 끝난 외주 사이트나 지자체·학교 홈페이지에 지원 종료된 구버전 PHP가 방치된 경우가 많아 특히 우려된다"며 "AI가 복잡한 버그를 실제 무기로 만든 만큼, 패치 대응 주기를 일 단위로 단축해야 한다"고 말했다.

한편, PHP 보안 결함 발견에 과기부를 비롯한 관계부처는 대응태세에 돌입, 범정부 차원의 대책을 수립하고 있다. 지난 22일 과기부는 KISA와 위기평가 회의를 진행한 후 대규모 해킹 가능성에 대한 경각심 제고와 선제 대응을 위해 같은 날 오후 12시부로 민간분야 사이버위기 경보를 '주의'로 격상·발령했다.

이어 관련 대응 방안과 범부처 차원의 대책을 마련하겠다는 계획이다. 배경훈 부총리 겸 과기부 장관은 "(이번 PHP 취약점 공개는) 전 부처가 원팀으로 대응해야 할 엄중한 상황"이라며 "각 부처와 협력해 중소기업 대상 보안점검 및 조치 요청을 논의할 예정"이라고 말했다.