PHP 치명적 취약점, AI가 발견···각국 기업·정부 비상

광고

전 세계 웹사이트의 최대 70%가 사용하는 프로그래밍 언어 ‘PHP’에서 해커가 로그인 없이도 시스템을 장악할 수 있는 치명적인 보안 취약점 2건이 발견됐다. 정부는 대규모 해킹 피해 가능성에 대비해 민간 분야 사이버위기 경보를 ‘주의’로 격상하고 비상 대응 체제에 돌입했다.

22일 과학기술정보통신부 설명과 외신 보도를 종합하면, PHP 개발진은 해커가 인증 절차를 거치지 않고 서버에 특수하게 조작된 요청을 보내 원하는 명령을 원격으로 실행할 수 있는 취약점 2건을 수정한 보안 업데이트를 21일(현지시각) 배포했다. 미국 사이버 보안업체 캘리프(Calif)가 지난 8월 오픈에이아이(AI)와 인공지능 모델 ‘지피티(GPT)-5.6 솔(Sol)’을 활용해 첫번째 취약점을 발견해 PHP 개발진에 신고한 뒤 이뤄진 조처다.

이 보안상 결함은 공격자가 아이디와 비밀번호를 몰라도 서버에 손쉽게 접근할 수 있다는 점 때문에 국제 보안 취약점 평가체계(CVSS 4.0)에서 10점 만점에 9.2점을 받았다. 이는 최고 위험 수준인 ‘치명적’(Critical) 등급에 해당한다.

광고

특히, PHP 언어를 실행하는 프로그램 자체에서 취약점이 발견됐기 때문에, 개별 웹 서비스를 안전하게 만들었더라도 해커의 공격에 노출될 수 있다는 점에서 우려가 크다. 해커가 이를 악용할 경우 웹셸(WebShell) 등 악성코드를 서버에 몰래 심어놓거나 고객 정보 유출, 홈페이지 위·변조, 서비스 중단 등 중대한 피해를 야기할 수 있다.

1995년 캐나다에서 선보인 PHP는 웹사이트가 작동하도록 만드는 오픈소스 프로그래밍 언어로, 이용자가 웹사이트에 로그인하거나 게시글을 작성하면 PHP로 만든 프로그램이 서버에서 해당 요청을 처리한다. PHP 기반 홈페이지 제작·관리 도구인 ‘워드프레스’는 국내 중소 쇼핑몰과 기업 사이트, 일부 공공기관·학교 홈페이지 등에 널리 사용된다.

광고

광고

과기정통부와 한국인터넷진흥원(KISA)은 긴급 대응에 나섰다. 정부는 21일 밤 약 5900개 기업 등이 참여하는 사이버 위협정보 분석·공유 시스템(C-TAS) 회원사와 정보보호 최고책임자(CISO) 신고 의무 기업에 신속한 보안 업데이트 조처를 권고했다. 이와 함께 이날 낮 12시부터 민간 분야 사이버위기 경보를 ‘주의’(2단계)로 격상해 24시간 비상출동조 대기 체제를 가동했다. 청와대 국가안보실도 이날 국가안보실 송기호 3차장 주재로 ‘민·관·군 사이버안보 긴급대책 회의’를 개최하고, 부문별 대응 상황을 점검했다.

정부는 각 기업·기관에서 운영 중인 모든 홈페이지와 시스템의 PHP를 최신 버전으로 업데이트하고, 공식 보안 패치가 제공되지 않는 8.1 이하 버전을 사용하는 경우 상위 버전으로 옮겨갈 것을 당부했다. 이날 사이버 위협 인텔리전스 플랫폼 ‘안랩 TIP’이 발표한 자료를 보면, 해킹 공격에 취약한 PHP 버전을 쓰는 것으로 추정되는 국내 서버는 11만2183개로 집계됐다. 미국(약 55만개), 중국(약 24만개), 독일(약 19만개), 일본(약 15만개), 프랑스(약 12만개)에 이어 세계 6위 수준이다.

광고

각국 정부도 대응에 나섰다. 미 백악관은 21일(현지시각) 성명을 내어 “미 행정부는 보안 패치의 신속한 공개와 미국의 네트워크 및 핵심 기반시설 보호를 위해 연방기관 및 주요 초지능(SI·인공지능) 연구소들과 상황을 추적하고 조율하고 있다”고 밝혔다. 독일과 프랑스 등 일부 유럽연합(EU) 국가들은 보안 패치 작업 전까지 행정기관 웹사이트를 일시적으로 폐쇄하기도 했다. 다만 행정안전부는 국내 정부 및 지방정부 정보시스템은 대다수가 자바(Java) 언어 기반의 ‘전자정부 표준프레임워크’를 사용하고 있어 취약점으로 인한 영향은 상대적으로 크지 않다고 밝혔다.

전문가들은 보안 인력이 부족한 중소기업과 오랫동안 관리하지 않은 채 방치된 웹사이트가 해킹 사각지대가 될 수 있다고 지적했다. 김승주 고려대 정보보호대학원 교수는 “중소기업이나 스타트업 등은 자체 보안 인력이 없어 취약점 보고서를 받아도 그 위험성을 파악하기 쉽지 않다”며 “과거에 만들어 놓고 잊어버린 채 방치된 웹사이트들도 많을텐데, 대기업과 달리 직접 대응할 역량이 부족한 중소기업을 위해 정부가 원격 점검 등 실질적인 현장 지원에 나서야 한다”고 말했다.

선담은 기자 sun@hani.co.kr 박현정 기자 saram@hani.co.kr 서영지 기자 yj@hani.co.kr