일본어 사이트 절반이 워드프레스…PHP 결함에 日 정부·기업 '비상'

日 재무성·은행·JR서일본 등 사이트 일시중단
CMS 워드프레스 점유율 83.1%…의존 높아
국내 사이버위기 경보 '주의'…"시급히 대응"

프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견되면서 일본 정부 부처와 대형 은행, 철도회사 등의 웹사이트가 잇달아 멈춰 섰다.

22일 연합뉴스는 요미우리신문과 NHK 등을 인용해 "일본 독립행정법인 정보처리추진기구(IPA)가 전날 PHP를 쓰는 웹사이트 운영자들에게 신속한 대응을 촉구했다"고 보도했다. IPA는 앞서 PHP 개발진이 21일 오후 11시 보안 업데이트를 공개한다고 예고하자, 업데이트 즉시 적용할 수 있도록 사전 준비를 당부하기도 했다.

PHP 의존 높은 일본…정부·기업 사이트 일제히 점검

22일 일본의 한 투자 관리 회사 웹사이트에 "일부 서비스가 안전성 검증 및 확보를 위해 일시 중단되었다"는 안내가 게재돼 있다. 로이터연합뉴스

일본은 자바스크립트·파이썬보다 PHP 의존도가 특히 높은 나라로 꼽힌다. 일본 PHP기술자인증기구 등에 따르면 일본어 웹사이트 가운데 콘텐츠 관리 시스템(CMS)을 쓰는 사이트에서 PHP 기반 CMS인 워드프레스의 점유율은 약 83.1%다. 통상 전체 사이트의 60%가량이 CMS로 만들어지는 점을 고려하면 일본어 사이트의 절반가량이 워드프레스 기반인 셈이다.

다카이치 사나에 일본 총리는 21일 밤 엑스(X·구 트위터)에 "매우 시급하다"며 PHP 관련 대응을 당부했고, 22일에도 오류 수정 패치 적용을 거듭 강조했다. 자신의 공식 사이트 역시 접속을 임시 중단했다가 조치를 마친 뒤 재개했다고 밝혔다. 일본 정부 대변인인 기하라 미노루 관방장관은 22일 기자회견에서 "현재까지 피해 보고는 접수되지 않았다"며 PHP를 쓰는 웹사이트 운영자들에게 수정 프로그램을 적용하거나 사이트 운영을 멈춰달라고 요청했다.

재무성과 국토교통성은 21일 긴급 점검과 수정 패치 적용을 위해 홈페이지 일부 콘텐츠와 서비스를 일시 중단했고, 국세청 홈페이지도 접속이 끊겼다가 재개됐다. 오사카부·오사카시·후쿠오카현 등 지방자치단체도 홈페이지 일부 서비스를 중단했다. 가나가와현 경찰은 운전면허증 갱신 예약 사이트를 일시 정지했다가 다시 열었고, 기상청에서는 과거 기상 데이터 등 일부 콘텐츠를 볼 수 없었다.

금융권에서는 미쓰비시UFJ은행이 시스템 임시 점검에 들어가면서 인터넷 뱅킹 '미쓰비시UFJ 다이렉트'의 투자신탁 계좌 개설 등이 막혔다. 미즈호은행은 같은 날 홈페이지 지점 방문 예약 서비스를, 다이와증권은 계좌 개설 등 웹사이트 서비스를 일시 중단했다.

일상 서비스도 영향을 받았다. 라쿠텐 그룹은 인터넷 쇼핑몰 '라쿠텐시장' 메인 화면 일부 페이지를 긴급 점검했고, 항공 예약 사이트 '스카이마크'와 부동산 중개 사이트 '스우모', 다이하쓰공업의 중고차 정보 사이트는 접속이 중단됐다. JR서일본은 한큐전철·한신전기철도 등 그룹 내 웹사이트 약 60개 운영을 멈춰 열차 운행 정보와 시간표를 조회할 수 없게 됐다.

'웹의 중추' 뚫릴라…韓도 사이버위기 경보 '주의' 발령

프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견됐다. 로이터연합뉴스

PHP는 '웹의 중추'로 불리는 웹 개발용 프로그래밍 언어로, 워드프레스와 위키피디아의 미디어위키 등 인기 플랫폼을 포함해 전 세계 웹사이트의 약 70%를 구동한다. 이번에 발견된 취약점 2건(CVE-2026-109618·109619)은 'PHP2shell'로 불리며, 외부에서 부정한 코드를 실행해 데이터를 빼돌리거나 웹사이트를 변조하는 등 치명적 위험 요소인 것으로 알려졌다.

국내에서도 과학기술정보통신부가 22일 0시를 기해 민간 분야 사이버위기 경보 '주의'를 발령했다. 배경훈 부총리 겸 과기정통부 장관은 "이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고, 공격 코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다"고 말했다.

한국인터넷진흥원(KISA)은 21일 보호나라 홈페이지에 보안 업데이트 권고문을 올리고 주요 정보통신기반시설 111곳, 정보보호 관리체계(ISMS) 인증기업 1068곳, 웹호스팅 사 등에 관련 내용을 긴급 전파했다. 보안 지원이 끝난 PHP 8.1 이하 버전을 쓰는 곳은 지원되는 상위 버전으로 전환해야 한다.

김성욱 기자 abc123@asiae.co.kr