행안부 “PHP 보안 패치 적용 안내” 지자체·공공기관에 긴급 공문

정부세종청사 과학기술정보통신부 사이버침해대응과 사무실. 연합뉴스

행정안전부가 전 세계 웹사이트에서 널리 쓰이는 ‘PHP’의 보안 우려가 커짐에 따라 전국 지방자치단체와 공공기관에 공문을 보내 보안 패치 적용을 안내했다.

23일 행안부에 따르면, 정부24와 지방세 시스템 등 소관 정보 시스템 217개를 최근 조사한 결과 PHP를 사용해 개발한 시스템은 없는 것으로 확인됐다. 정부 정보 시스템은 PHP 언어가 아닌 ‘자바’(Java) 언어를 사용하고 있는 것으로 알려졌다. 또 현재까지 해킹이나 장애 등 특이사항도 없는 것으로 파악됐다.

행안부는 다만 지자체와 공공기관에서 일부 시스템에 PHP를 사용했을 가능성이 있다고 보고 전날 긴급 공문을 발송했다. 행안부는 공문에서 각 기관이 운영하는 정보 시스템 중 PHP로 개발된 시스템이 있다면 보안 패치를 적용하도록 안내했다.

프로그래밍 언어인 PHP는 웹사이트에서 이용자의 로그인이나 게시글 작성, 상품 결제 등의 요청을 서버가 처리하도록 하는 프로그램을 만드는 데 쓰인다. 전 세계적으로 널리 이용되는 웹사이트 제작 도구인 ‘워드프레스’도 PHP를 기반으로 한다.

PHP 취약점은 AI(인공지능)를 활용한 점검 과정에서 파악됐다. 사이버보안업체 캘리프는 오픈AI의 모델 ‘GPT-5.6 솔(Sol)’을 이용해 취약점을 찾아냈으며, 구글 계열 사이버보안업체 위즈도 독자적으로 두 건의 취약점을 발견해 신고했다.

과학기술정보통신부에 따르면 발견된 취약점은 공격자가 아이디·비밀번호 없이 인터넷을 통해 특수하게 조작된 요청을 보내, 서버에 원하는 명령을 실행할 수 있어 위험도가 높다. 만일 공격에 성공하면 해커가 서버에 원격조종 파일을 몰래 설치하거나, 고객 정보 유출, 홈페이지 변조·마비 등 중대한 피해로 이어질 수 있다. 보안업체 안랩에 따르면 취약한 버전의 PHP가 설치된 것으로 추정되는 국내 서버가 약 11만건에 달한다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 전날 낮 12시를 기점으로 민간 분야 사이버 위기 경보를 ‘주의’ 단계로 격상하고, 비상대응 체계를 가동했다. 또 PHP를 이용한 국내 기업·기관은 운영 중인 모든 홈페이지와 시스템의 PHP 버전을 확인하고 최신 버전으로 즉시 업데이트해야 한다고 밝혔다. 국가안보실도 송기호 안보실 3차장 주재로 ‘민·관·군 사이버안보 긴급대책회의’를 개최하고, 부문별 대응 상황을 점검했다.