‘점유율 70%’ 웹 언어 PHP 해킹 비상…‘무인증 원격 실행’ 치명적 취약점

광고

전 세계 웹사이트의 최대 70%가 사용하는 프로그래밍 언어 ‘PHP’에서 치명적인 보안 취약점 2건이 발견돼 외국 정부와 기업들이 긴급 대응에 나섰다. 과학기술정보통신부와 한국인터넷진흥원(KISA)도 21일 밤 관련 기업에 PHP 취약점에 대한 보안 조처를 요청했다.

22일 월스트리트저널(WSJ)과 로이터 통신 등을 보면, PHP 개발진은 시스템에서 해커가 코드를 임의로 실행할 수 있는 치명적인 취약점 2건을 수정한 보안 패치를 21일(현지시각) 공개했다고 보도했다.

PHP는 웹사이트를 구동하는 무료 오픈소스 프로그래밍 언어다. 이용자가 웹페이지를 열면 PHP를 실행하는 서버가 콘텐츠를 구성해 브라우저로 전송한다. 웹 기술 분석업체 W3테크스(W3Techs)에 따르면 프로그래밍 언어를 확인할 수 있는 전 세계 웹사이트의 약 70%가 PHP를 사용하며, 전체 웹사이트의 약 40%를 만들고 관리하는 데 활용되는 워드프레스(WordPress)도 PHP를 기반으로 한다.

광고

미국 국가안보국(NSA)은 성명에서 이번 취약점이 “서버의 파일 시스템이나 데이터베이스에 직접 접근할 수 있는 경로를 제공하는 경우가 많다”며 즉각적인 업데이트가 어려울 경우 일시적으로 해당 시스템에 접속할 수 없게 하는 오프라인 상태로 전환할 것을 권고했다.

이번 취약점을 발견하는 과정에선 인공지능이 핵심적인 역할을 했다. 사이버보안업체 캘리프(Calif)는 지난 8월11일 오픈에이아이(AI)의 모델 ‘지피티(GPT)-5.6 솔(Sol)’을 활용해 첫번째 취약점을 발견한 뒤 PHP 개발진에 신고했다고 밝혔다. 구글 모회사 알파벳이 보유한 보안업체 위즈(Wiz)도 독자적으로 두번째 취약점을 발견해 같은달 24일 신고했다. 위즈 쪽은 “PHP에서 발견된 취약점 가운데 가장 심각한 수준”이라고 설명했다.

광고

광고

각국 정부도 대응에 나섰다. 독일은 연방 정보기술(IT) 서비스 제공기관(ITZBund)이 여러 웹사이트를 일시 폐쇄했으며. 프랑스 정부도 보안 패치 작업 전까지 지방 행정기관 웹사이트를 일시적으로 폐쇄한 상태다.

미 백악관도 이날 성명에서 “미 행정부는 보안 패치의 신속한 공개와 미국의 네트워크 및 핵심 기반시설 보호를 위해 연방기관 및 주요 초지능(SI·인공지능) 연구소들과 상황을 추적하고 조율하고 있다”고 밝혔다.

광고

한편, 과학기술정보통신부와 한국인터넷진흥원(KISA)은 21일 밤 사이버 위협정보 분석·공유 시스템(C-TAS) 회원사와 정보보호 최고책임자(CISO) 신고 의무 기업을 대상으로 PHP 취약점에 대한 보안 조처 대응을 요청했다. C-TAS는 한국인터넷진흥원이 운영하는 사이버 위협정보 분석·공유 시스템으로, 약 5900개 참여 기업과 기관이 사이버 위협 정보를 공유하는 체계다.