[PHP 취약점 파장] "로그인 없이 서버 뚫린다"…정부, PHP 해킹 위협에 비상대응 [종합]

[아이뉴스24 안세준·곽민구 기자] 인공지능(AI)을 활용한 보안 연구 과정에서 전 세계 웹사이트에 널리 사용되는 프로그래밍 언어 PHP의 치명적인 보안 취약점 2건이 발견되면서 정부가 비상대응에 나섰다. 이 취약점을 악용하면 별도의 로그인 없이 외부에서 서버를 장악할 수 있어 자칫 고객정보 유출 등 대규모 피해가 우려된다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 PHP에서 심각한 보안 취약점 2건이 공개됨에 따라 22일 낮 12시부로 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 격상했다. 민간분야 사이버위기 경보단계는 관심→주의→경계→심각으로 구분된다.

로그인 없이 서버 장악 가능⋯홈페이지·쇼핑몰 등 피해 우려

PHP는 홈페이지와 온라인 쇼핑몰, 게시판, 관리자 페이지 등 다양한 웹서비스를 개발하는 데 사용되는 프로그래밍 언어다. 국내에서 널리 사용되는 워드프레스와 그누보드 등 홈페이지 제작 도구도 PHP를 기반으로 동작한다.

과기정통부에 따르면, 발견된 취약점은 공격자가 아이디와 비밀번호 없이 인터넷을 통해 특수하게 조작된 요청을 보내며 서버에 원하는 명령을 실행할 수 있어 위험도가 높다.

공격에 성공할 경우 서버에 원격조종 파일인 웹셸(Webshell)을 몰래 설치할 수 있다. 고객정보를 탈취하거나 홈페이지 변조, 서비스 마비 등 피해 또한 발생할 수 있다는 게 정부 측 설명이다.

정부는 특히 개별 홈페이지 프로그램이 아닌 PHP 자체에서 발견된 취약점이라는 점에서 위험성이 큰 것으로 보고 있다. 홈페이지를 안전하게 개발했더라도 서버에서 취약한 PHP 버전을 사용하고 있다면 공격 대상이 될 수 있어서다.

유럽연합 사이버보안기관(CERT-EU)을 비롯해 영국과 네덜란드, 독일 등 주요국 보안당국도 이번 취약점을 '치명적' 등급으로 평가하고 긴급 보안 업데이트를 권고했다. 업데이트가 어려운 시스템은 인터넷에서 분리하거나 서비스를 일시 중단하도록 했다.

공격코드까지 공개…정부, 긴급 업데이트·비상대응 체계 가동

PHP 개발팀은 21일(현지시간) 취약점을 해결한 보안 업데이트를 배포했다. 다만 PHP 8.1 이하 구버전은 공식 보안 업데이트가 제공되지 않아 지원되는 상위 버전으로 전환해야 한다. 업데이트 이후에는 웹서비스를 재시작해야 변경 사항이 실제 적용된다.

정부는 업데이트를 완료한 시스템도 이상 접속 기록이나 웹셸 설치 여부 등 침해 흔적을 점검해야 한다고 강조했다. 공격 코드가 이미 공개된 만큼 업데이트 이전에 공격을 받았을 가능성도 배제할 수 없기 때문이다.

과기정통부는 CISO 신고기업, 주요정보통신기반시설, 정보보호 관리체계(ISMS) 인증기업, 인터넷데이터센터(IDC), 사이버위협정보 공유(C-TAS) 회원사 등에 관련 내용을 긴급 전파했다. 국내외 보안업계와 협력해 공격 동향을 모니터링하고 있다.

정부는 주의 경보에 따라 침해대응 인력을 증원하고 비상출동조를 상시 대기시키는 등 비상대응 체계를 가동한다. 국내외 보안업계와 협력해 공격 동향도 지속적으로 모니터링할 방침이다.

배경훈 부총리 겸 과기정통부 장관은 "이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고, 공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다"고 밝혔다.

이어 "기업 관점에서는 기존의 수동 점검 후 수일 내 패치라는 통상적인 취약점 관리 주기(SLA)로는 공격을 방어할 수 없다"며 "인터넷 접점 자산에 대한 즉각적인 차단 및 웹방화벽(WAF) 룰셋 선제 적용 같은 자동화된 대응 체계가 필수적"이라고 덧붙였다.