▲21일(현지시간) 독일 프랑크푸르트에서 촬영된 노트북 화면에 자물쇠와 이진 코드가 표시돼 있다. 전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어 PHP에서 치명적인 보안 취약점 2건이 발견됐다. 사진=AFP/연합뉴스
전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어 ‘PHP’에서 치명적인 보안 취약점이 발견되자 정부가 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 높였다. 별도의 로그인 없이도 해커가 서버를 장악할 수 있는 결함으로, 정부는 국내 기업과 기관에 긴급 보안 업데이트를 당부했다.
과학기술정보통신부와 한국인터넷진흥원(KISA)은 22일 낮 12시부터 민간 분야 사이버위기 ‘주의’ 경보를 발령했다고 밝혔다. PHP에서 발견된 보안 취약점 2건을 악용한 대규모 해킹 가능성에 대비하기 위한 조치다.
PHP는 홈페이지와 온라인 쇼핑몰, 게시판 등을 만드는 데 쓰이는 프로그래밍 언어다. 국내에서 많이 사용하는 워드프레스와 그누보드 등도 PHP를 기반으로 작동한다.
이번에 발견된 취약점은 공격자가 아이디나 비밀번호 없이 인터넷을 통해 조작된 요청을 보내 서버에서 임의의 명령을 실행할 수 있다는 점에서 위험성이 크다. 공격에 성공하면 서버에 원격조종 파일인 ‘웹셸(Webshell)’을 설치하거나 고객 정보를 빼내고 홈페이지를 변조할 수 있다.
특히 개별 홈페이지가 아닌 PHP 자체에서 발견된 결함이어서 웹사이트를 안전하게 개발했더라도 공격에 노출될 수 있다. 이번 취약점의 위험도는 국제 보안 취약점 평가 기준(CVSS)으로 10점 만점에 9.2점이다.
유럽연합(EU)과 영국, 네덜란드, 독일 등의 사이버보안 당국도 이번 취약점을 ‘치명적’ 등급으로 평가하고 긴급 업데이트를 권고했다. 즉각적인 조치가 어려운 시스템은 인터넷 연결을 차단하거나 서비스를 일시 중단하도록 했다.
PHP 개발팀은 21일(현지시간) 취약점을 해결한 보안 업데이트를 배포했다. 영향을 받는 버전은 PHP 8.2부터 8.5까지로, 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상으로 업데이트해야 한다. 공식 보안 지원이 종료된 PHP 8.1 이하 버전은 상위 버전으로 전환해야 한다.
과기정통부는 업데이트 이후에도 서버 접속 기록과 웹셸 설치 여부 등을 점검하도록 했다. 취약점 정보가 보안 업데이트 배포 전에 유출됐고, 해외에서는 이를 이용한 공격 시도도 보고됐기 때문이다.
정부는 정보보호최고책임자(CISO) 신고기업 약 2만8000곳과 주요정보통신기반시설 111곳, 정보보호 관리체계(ISMS) 인증기업 1068곳 등에 관련 내용을 긴급 전파했다. 사이버위기 경보 격상에 따라 침해대응 인력을 늘리고 비상출동조를 상시 대기시키는 등 비상대응 체계도 가동한다.
배경훈 부총리 겸 과기정통부 장관은 “이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고, 공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다”고 말했다.
이어 “기존의 수동 점검 후 수일 내 패치하는 통상적인 취약점 관리 방식으로는 공격을 방어할 수 없다”며 “인터넷 접점 자산에 대한 즉각적인 차단과 웹방화벽 차단 규칙의 선제 적용 등 자동화된 대응 체계가 필수적”이라고 강조했다.
김나현 기자 knh@ekn.kr
