프로그래밍 언어 'PHP' 치명적 보안 결함에 전세계 해킹 비상…국내 대응 분주(종합)

과기정통부 "보안수칙 전파"
국내 기업들 대응책 마련 분주
전문가들, 빠른 업데이트 권고

전 세계 웹사이트의 70% 이상에서 쓰이는 프로그래밍 언어 'PHP'에서 치명적인 보안 취약점이 발견돼 전 세계 해킹 비상이 걸렸다. 미국 정부가 즉각적인 보안 업데이트를 권고한 가운데 유럽에서는 정부 기관과 주요 공공서비스의 웹사이트 운영이 잇따라 중단되는 등 파장이 확산하고 있다. 과학기술정보통신부는 22일 PHP 취약점 정보와 보안 수칙 등을 각 기업과 주요 기관에 즉각 공유하고 대응책 마련에 나섰다.

과학기술정보통신부 고위관계자는 "이번에 확인된 PHP 취약점 정보와 보안 수칙 등을 각 기업 정보보호최고책임자(CISO)를 통해 우선 전파했다"며 "이번 취약점 정보와 관련해 각 기업 웹페이지의 PHP 활용 여부와 보안 업데이트 진행 여부 등을 모니터링할 계획"이라고 밝혔다. 한국인터넷진흥원(KISA)도 PHP에서 발견된 취약점 위험성을 경고하고, 보안 업데이트를 권고한다고 긴급 공지했다.

21일(현지시간) 독일 베를린의 한 컴퓨터 서버에 장착된 하드 디스크 드라이브. 정보기술(IT) 보안 기관들은 PHP가 보안 패치를 준비하는 동안 웹사이트가 접속 불가 상태가 될 수 있다고 공지하고 있다. 베를린(독일)=로이터 연합뉴스.

즉각 업데이트…불가능하면 오프라인 전환

21일(현지시간) 월스트리트저널(WSJ)에 따르면 미국 국가안보국(NSA)은 이날 엑스(X·옛 트위터)를 통해 "시스템에 PHP를 사용하는 모든 기관과 기업은 보안 업데이트를 준비할 것을 권고한다"며 즉각적인 업데이트가 불가능하다면 취약점이 완전히 해결될 때까지 해당 시스템을 오프라인으로 전환할 것을 당부했다. 미 연방수사국(FBI)도 해커들이 PHP 보안 결함을 악용해 외부에서 서버에 침입할 가능성이 커졌다고 경고했다.

유럽에서는 예방적 차원의 웹사이트 운영 중단이 잇따랐다. 네덜란드에서는 정부 포털사이트와 로테르담 항만, 축구협회, 주요 정당 및 병원 웹사이트 등의 서비스가 중단됐다. 핀란드 정부도 공공 네트워크 서비스를 일시 중단했으며, 벨기에 외무부와 지방정부, 덴마크의 공립학교 소통 플랫폼 등도 접속을 차단했다. 독일과 프랑스, 체코 등에서도 일부 정부 웹사이트가 예방적 차원에서 오프라인으로 전환됐다.

업계에서도 이번 취약점의 심각성을 강조하고 있다. 오픈AI는 이날 성명을 통해 "이번 결함의 심각성과 PHP의 광범위한 사용을 고려할 때 최근 들어 가장 파급력이 큰 보안 취약점 중 하나로 평가한다"고 밝혔다.

PHP가 보안 수정 패치를 준비하는 동안 접속을 차단한 프랑스 정부 웹사이트. 로이터 연합뉴스.

PHP는 웹사이트 운영에 널리 사용되는 무료 오픈소스 프로그래밍 언어로, 이용자가 웹페이지에 접속하면 서버에서 콘텐츠를 조합해 화면에 표시하는 역할을 한다. 이번에 발견된 취약점은 두 개로, 보안업계에서는 'PHP2셸(PHP2Shell)'로 불린다. 서버의 메모리 처리 과정에서 발생하는 것으로, 해커가 별도의 로그인이나 인증 절차 없이 서버에 들어와 임의 명령을 실행할 수 있는 취약점이다. 공격에 성공하면 개인정보 탈취, 서버 장악 등으로 이어질 수 있다고 로이터통신은 설명했다. 심지어 국제 보안 취약점 평가 기준(CVSS)에서는 두 결함 모두 10점 만점에 9.2점을 받아 가장 높은 '치명적' 등급으로 분류됐다.

주목할 점은 이번 결함이 인공지능(AI) 연구 과정에서 발견됐다는 것이라고 WSJ는 전했다. 사이버보안업체 칼리프는 오픈AI의 'GPT-5.6 솔(Sol)'을 이용해 지난 8월 11일 첫 번째 취약점을 신고했다. 구글 계열 보안업체 위즈도 AI를 활용해 같은 달 24일 두 번째 취약점을 신고했다. 과거부터 존재했던 결함이지만 악용 가능성을 입증하기 어려워 그동안 드러나지 않았던 것으로 알려졌다.

이에 PHP 개발진은 당초 22일로 예정됐던 보안 패치 배포를 하루 앞당겼다. 그러나 관련 정보가 사전에 유출되고 일부 해킹 시도까지 관측되면서 피해 확산 우려가 커지고 있는 것으로 알려졌다. 타이 즈엉 칼리프 최고경영자(CEO)는 WSJ에 "누군가 보안 패치를 AI로 분석해 해킹 공격 코드를 공개할 수도 있다"며 "그렇게 되면 걷잡을 수 없는 혼란이 벌어질 것"이라고 경고했다.

국내 대응책 분주…AI 내부 통제 시급

PHP의 치명적인 보안 취약점이 발견되면서 국내 기업들도 대응책 마련에 분주하다. 정부는 취약점 문제가 해결된 PHP 버전으로의 업데이트를 권고했고, 전문가들도 이번에 발견된 취약점의 악용 가능성이 큰 만큼 신속한 업데이트가 필요하다고 강조했다.

KISA에 따르면 영향을 받는 PHP 제품은 8.2, 8.3, 8.4, 8.5 등 4개 버전이다. 구체적으로 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 미만의 세부 버전을 사용한다면 이번 취약점에 노출될 수 있다. KISA는 사용 중인 PHP를 해당 버전 이상으로 업데이트할 것을 권고했다. 특히 PHP 8.1 이하는 이미 공식 보안 지원이 종료돼 지원 중인 버전으로 업그레이드해야 한다고 강조했다.

이번 사태의 영향이 큰 건 PHP가 전 세계적으로 웹사이트 제작에 널리 사용되는 프로그래밍 언어이기 때문이다. 웹 기술 분석업체 W3Techs에 따르면 사용된 프로그래밍 언어를 식별할 수 있는 웹사이트의 약 70%가 PHP를 사용하고 있다. 전체 웹사이트의 약 43%가 사용하는 웹사이트 제작·관리 시스템 워드프레스도 PHP를 기반으로 작동한다.

21일(현지시간) 영국 런던의 한 카페에서 한 사람이 노트북으로 업무를 보고 있다. 런던(영국)=로이터 연합뉴스.

전문가들은 이번 취약점 해결을 위한 업데이트를 최대한 빠르게 진행해야 한다고 강조했다. 최병호 고려대 휴먼인스파이어드 AI연구원 교수는 "보안 문제가 해결된 PHP 버전으로의 업데이트와 같은 보안 패치를 최대한 빠른 속도로 진행해야 한다"면서 "AI 에이전트를 악용해 PHP 취약점을 노린 공격이 발생할 수 있어 결국엔 시간 문제"라고 경고했다. 최 교수는 이어 "당장 업데이트가 어려운 상황이라면 네트워크망과의 접속을 분리한 뒤 대응책을 찾는 등의 대책 마련이 필요하다"고 조언했다.

프로그램 개발 단계부터 보안성 내재해야

개발 과정에서도 보안을 최우선으로 두는 패러다임 전환이 필요하다는 조언 역시 나왔다. 황석진 동국대 국제정보보호대학원 교수는 "AI를 활용한 취약점 공격으로 공격 속도가 빨라지면서 사후 대응은 한계를 보일 것"이라며 "프로그램 개발 단계부터 보안성을 내재하고, 개발 과정에서 AI를 활용하더라도 사람이 직접 검증하는 체계를 갖춰야 한다"고 강조했다

박찬암 스틸리언 대표는 "AI를 이용해 이번 PHP 사태와 같은 취약점을 실제로 발견하고 실행할 수 있게 되면서 사이버 보안에 대한 패러다임이 완전히 바뀔 것"이라며 "신속한 보안 업데이트가 가장 중요하고, AI 발전에 발맞춰 각 기관도 보안과 내부통제에 신경 써야 한다"고 강조했다. 다만 국내 주요 플랫폼 기업들의 웹페이지는 PHP 활용도가 낮아 이번 사태의 영향은 크지 않은 것으로 알려졌다. 국내 주요 플랫폼 업계 관계자는 "PHP를 메인으로 사용하지 않는다"라면서도 "새로 올라온 패치나 여러 글로벌 동향 등을 살피며 상황을 예의주시하고 있다"라고 말했다.

전진영 기자 jintonic@asiae.co.kr
이명환 기자 lifehwan@asiae.co.kr