전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어 PHP에서 치명적인 보안 취약점 2건이 공개되면서 정부가 긴급 대응에 나섰다. 국가안보실이 민·관·군 대응 상황을 점검하고, 과학기술정보통신부는 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 상향했다.

22일 국가안보실은 송기호 안보실 3차장 주재로 민·관·군 사이버 안보 긴급대책 회의를 개최했다. 과기정통부와 국방부, 국가정보원 국장급 관계자가 참석해 부문별 PHP 사용 현황과 보안조치 상황을 점검했다. 참석 기관은 대응 현황을 실시간으로 공유하기로 했다. 

송 차장은 "이번 취약점은 인증 없이도 서버를 장악할 수 있고, 이미 해외에서는 공격 시도가 보고되고 있다"며 "얼마나 빨리 조치하느냐가 피해 규모를 좌우한다. 민·관·군이 원팀으로 신속하게 조치를 완료해 달라"고 말했다.

PHP는 홈페이지와 온라인 쇼핑몰, 게시판 등을 만드는 데 사용된다. 국내에서 많이 쓰이는 워드프레스·그누보드 등도 PHP를 기반으로 동작한다.

이번 취약점은 공격자가 별도의 로그인이나 인증 없이 서버에서 악성 명령을 실행할 수 있어 고객정보 유출이나 홈페이지 변조·마비 등으로 이어질 우려가 있다.

보안업계에서는 PHP 취약점이 홈페이지 변조를 넘어 내부 시스템 침해로 이어질 수 있다는 점에 주목하고 있다. PHP는 웹서비스 개발에 널리 쓰이는 기술인 만큼, 취약한 시스템이 외부에 노출돼 있고 내부 서버나 데이터베이스와 연결돼 있다면 피해 범위가 커질 수 있다는 설명이다.

이에 과기정통부와 한국인터넷진흥원(KISA)은 이날 낮 12시부터 민간 분야 사이버위기를 '관심'에서 '주의'로 상향했다. 침해대응 인력을 증원하고 비상출동조를 상시 대기시키는 등 비상대응 체계도 가동했다.

과기정통부는 기업·기관에 PHP 사용 여부와 버전을 확인하고 보안 업데이트를 즉시 적용해 달라고 당부했다. 업데이트 후에는 웹서비스를 재시작하고, 공식 업데이트가 제공되지 않는 PHP 8.1 이하 버전은 지원되는 상위 버전으로 전환하도록 했다. 즉시 조치하기 어려운 경우 외부 접속 차단이나 서비스 일시 중단도 검토할 것을 요청했다.

개인정보보호위원회도 개인정보 유출을 막기 위해 DB 관리도구의 인터넷 직접 접근을 제한하고, 웹서비스 계정의 DB 접근권한을 최소화해 달라고 당부했다. 개인정보 대량 조회·반출 등 비정상 접근 여부를 점검하고, 외주·수탁업체 시스템의 PHP 사용 여부와 조치 상황도 확인하도록 했다.

아울러 정부는 업데이트를 마친 서버도 이상 접속이나 원격조종 파일인 웹셸 설치 여부 등 침해 흔적을 점검하고, 피해가 의심되면 즉시 KISA에 신고해 달라고 요청했다. 

전문가들은 AI의 취약점 탐지 능력이 높아지는 만큼 보안 대응도 빨라져야 한다고 제언했다.

김명주 서울여대 정보보호학과 교수(AI안전연구소 소장)는 "PHP는 수많은 웹사이트에서 공통으로 사용돼 취약점 하나가 광범위한 피해로 이어질 수 있다"며 "공격자도 AI를 활용할 수 있는 만큼 보안패치 개발부터 웹사이트 적용까지 신속히 마쳐야 한다"고 말했다.

이어 "이번 사태는 끝이 아니라 시작"이라며 "AI가 기존에 드러나지 않았던 취약점까지 찾아내는 상황에 대비해야 한다"고 강조했다.