배경훈 “PHP 취약점 계기로 범부처 종합대책 마련하겠다”

배경훈 부총리 겸 과학기술정보통신부 장관이 23일 국회에서 열린 과학기술정보방송통신위원회 종합감사에서 위원 질문에 답하고 있다. 연합뉴스

배경훈 부총리 겸 과학기술정보통신부 장관이 전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어 ‘PHP’의 보안 취약점과 관련해 범부처 차원의 사이버보안 종합대책 마련에 나서겠다고 밝혔다.

배경훈 부총리 겸 과학기술정보통신부 장관은 23일 국회 과학기술정보방송통신위원회 종합국정감사에서 “사이버 보안 컨트롤타워 체계를 정비해야 한다는 지적에 깊이 공감한다”며 “국가안보실 중심 대응을 넘어 범부처 차원의 종합대책과 관련 조직 개편을 검토하고 있다”고 밝혔다. 이어 “PHP 문제를 넘어 근본적인 대책을 수립할 필요가 있다”며 조만간 관련 방안을 보고하겠다고 했다.

이날 국감에서는 PHP 취약점에 대한 정부의 대응 속도가 도마에 올랐다. 서천호 국민의힘 의원은 국내 웹사이트의 PHP 사용 비율이 약 80%로 해외 평균보다 높다고 지적하며 보안 취약점이 국가 안보 위협으로 이어질 수 있다고 우려했다.

이에 최우혁 과기정통부 정보보호네트워크정책실장은 “지난 21일 밤 11시 20분 보안 공지를 냈다”며 이튿날 사이버 위기경보를 ‘관심’에서 ‘주의’로 격상하고 정보보호최고책임자(CISO) 2만8000명과 주요 정보통신기반시설 111곳 등에 보안패치 적용을 요청했다고 설명했다.

그러나 실제 취약한 시스템이 얼마나 남아 있는지는 확인되지 않은 상태다. 이상중 한국인터넷진흥원(KISA) 원장은 “공공행정기관은 대부분 PHP를 사용하지 않는 것으로 알고 있다”면서도 취약한 버전의 사용 현황과 보안패치 완료율은 아직 파악하지 못했다고 답했다. 현행 규정상 KISA가 각 기관의 시스템을 직접 점검할 권한도 없다고 설명했다.

PHP 개발팀은 지난 21일(현지시간) 인증절차를 거치지 않고도 서버에 악성 코드를 심을 수 있는 치명적인 보안 취약점 2건을 발견했다고 밝혔다. 공격에 성공하면 고객 정보 탈취뿐 아니라 홈페이지 자체를 마비시키는 피해도 일어날 수 있다. 개발팀은 전날 보안 패치를 배포했지만 패치가 바로 적용되지 않는 ‘구버전’ 취약 서버가 국내 11만대 이상 있는 것으로 알려지면서 우려를 키웠다.

글로벌 보안업체 클라우드플레어에 따르면 전날까지 PHP 취약점을 겨냥한 공격 시도가 수백만 건에 달했다. 다만 아직까지 실제 피해로 이어진 사례는 보고되지 않았다.