PHP 보안 결함에 정부 사이버위기 ‘주의’ 발령…대응 나선 보안업계

22일 낮 12시부터 민간 분야 경보 발령
기업·기관에 긴급 패치·침해 흔적 점검 권고

전 세계 웹사이트의 70% 이상에서 쓰이는 프로그래밍 언어 'PHP'에서 치명적인 보안 취약점이 발견된 가운데 정부가 사이버위기 주의 경보를 발령하고, PHP를 이용한 홈페이지를 운영하는 국내 기업·기관에 보안 업데이트를 즉시 적용하라고 권고했다.

21일(현지시간) 독일 베를린의 한 기기 화면에 접속이 불가능한 프랑스 정부 웹사이트가 표시돼 있다. 베를린(독일)=로이터 연합뉴스.

과학기술정보통신부는 한국인터넷진흥원(KISA)과 위기평가 회의를 거쳐 PHP 취약점으로 인한 대규모 해킹 가능성에 대한 경각심을 높이고 선제 대응하기 위해 22일 12시부로 민간 분야 사이버위기 '주의' 경보를 발령한다고 밝혔다. 워드프레스·그누보드 등 국내에서 쓰이는 홈페이지 제작 도구는 PHP를 기반으로 동작하고 있다.

이번에 발견된 취약점은 위험도가 높다. 공격자가 아이디·비밀번호 없이 인터넷을 통해 특수하게 조작된 요청을 보내는 것으로서 서버에 원하는 명령을 실행할 수 있기 때문이다. 공격에 성공하면 해커가 서버에 원격조종 파일을 몰래 설치하거나 고객 정보 유출, 홈페이지 변조·마비 등 중대한 피해로 이어질 수 있다.

특히 이번 취약점은 개별 홈페이지의 프로그램이 아닌 PHP 자체의 보안 취약점으로 홈페이지 프로그램을 안전하게 만들어도 영향을 받을 수 있다.

과기정통부는 정보보호최고책임자(CISO) 신고기업, 주요 정보통신기반시설, 정보보호관리체계(ISMS) 인증기업, 웹호스팅사, 인터넷데이터센터, 사이버위협정보 공유 회원사 등에 권고 사항을 긴급 전파하고, 국내외 보안업계와 협력해 공격 동향을 지속 모니터링 중이다. KISA는 같은 날 보호나라 누리집을 통해 보안 업데이트 권고문을 게시했다.

과기정통부는 PHP를 사용하는 기업·기관은 운영 중인 모든 홈페이지와 시스템의 PHP 버전을 확인하고, 최신 버전으로 즉시 업데이트해야 한다고 권고했다. PHP 8.1 이하 구버전은 공식 업데이트가 제공되지 않으므로 상위 버전으로 전환해야 한다. 오래전에 만들어두고 관리하지 않는 홈페이지, 외주 제작 쇼핑몰, 장비 관리 화면 등에도 PHP가 사용되는지 확인해야 한다.

업데이트를 마친 서버라도 이상 접속 기록이나 원격조종 파일 설치 여부 등 침해 흔적을 점검하고, 피해가 의심될 경우 KISA에 신고해야 한다. 호스팅 업체를 이용해 홈페이지를 운영하는 소상공인 등은 호스팅 업체에 보안 업데이트 적용 여부를 확인해야 한다.

또 인터넷에 공격 시험 코드(PoC)라며 유포되는 파일 중에는 악성 코드가 숨어있을 가능성이 있으므로 출처가 불분명한 코드는 내려받거나 실행하지 말아야 한다.

배경훈 부총리 겸 과기정통부 장관은 "기업 관점에서는 기존 수동 점검 후 수일 내 패치라는 통상적인 취약점 관리 주기(SLA)로는 공격을 방어할 수 없으며, 인터넷 접점 자산에 대한 즉각적인 차단과 웹 방화벽(WAF) 룰셋 선제 적용 같은 자동화된 대응 체계가 필수적"이라고 말했다. 이어 "전 부처가 원팀으로 대응해야 할 엄중한 상황으로 각 부처와 협력해 중소기업 대상 보안점검과 조치 요청을 논의할 예정"이라고 덧붙였다.

보안업계 "홈페이지 코드 고쳐도 못 막아…PHP 즉시 업데이트해야"

PHP 웹 디자인 관련 이미지.

국내 보안 기업들은 고객사에 대응 방안을 안내하는 등 긴급 대응에 나서고 있다. 국내 보안 업체 지니언스는 'PHP 원격 코드 실행 취약점 긴급 안내 보고서'를 내고 서버의 PHP를 최신 버전으로 업데이트해야 한다고 권고했다. 패치 이후에도 비인가 파일이나 비정상 접속 등 침해 흔적을 점검하고, 이상 징후가 발견되면 서버를 격리하고 유출 가능성이 있는 인증정보를 교체해야 한다는 것이다.

에버스핀은 고객사 대상으로 자사 웹 보안 솔루션에 이번 취약점을 겨냥한 공격을 막는 차단 규칙을 적용했다고 밝혔다. 공격 요청이 고객사 서버의 PHP에 닿기 전 게이트웨이 단계에서 차단하는 것을 자체 시험 환경으로 검증했다는 설명이다.

티오리도 이번 취약점 2건을 자체적으로 재현·검증하고 긴급 대응 가이드를 공개했다. 임준오 티오리 AI&사이버리서치팀 수석연구원은 "PHP2Shell은 애플리케이션 코드와 관계없이 서버 전체를 위험에 빠뜨릴 수 있는 최고 위험도의 취약점"이라며 "패치 전까지는 임시 완화책과 점검 스크립트를 적용해 설정 상태와 침해 여부를 즉시 확인해야 한다"고 당부했다.

전문가들은 이번 사태로 오랫동안 존재했지만 공격에 활용하기 어려웠던 소프트웨어 결함을 AI가 실제 공격 수단으로 바꾸기 시작했다고 평가했다. 니샨 밀스 호주 라트로브대 AI·분석 분야 연구자는 "소프트웨어 보안은 깊숙한 결함이 발견되더라도 실제 악용하기는 너무 어려울 것이라는 암묵적인 가정 덕분에 보호받아 왔지만, AI는 이런 보호막을 허물고 있다"고 말했다.

이기형 중앙대 보안대학원 교수는 "국내는 유지보수가 끝난 외주 사이트나 지자체·학교 홈페이지에 지원 종료된 구버전 PHP가 방치된 경우가 많다"며 "AI가 '공격이 사실상 불가능하다'던 복잡한 버그를 실제 무기로 만든 만큼 패치 대응 주기를 일 단위로 단축해야 한다"고 제언했다.

이은서 기자 libro@asiae.co.kr