과기정통부, PHP 치명적 보안 취약점 긴급 업데이트 당부…사이버위기 경보 '주의' 상향

정부가 전 세계 웹사이트 제작에 널리 쓰이는 프로그래밍 언어 'PHP'에서 심각한 보안 취약점 2건이 공개됨에 따라 긴급 보안 업데이트를 당부하고 나섰다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 PHP를 이용해 홈페이지를 운영하는 국내 기업·기관에 즉시 보안 조치를 적용할 것을 요청했다고 22일 밝혔다.

이번 취약점은 공격자가 아이디와 비밀번호 없이 특수하게 조작된 요청을 보내 서버에 원하는 명령을 실행할 수 있는 유형이다. 공격이 성공하면 해커가 원격조종 파일(웹셸)을 몰래 심거나 고객 정보를 빼내고 홈페이지를 변조·마비시킬 수 있다. 특히 개별 홈페이지 프로그램의 결함이 아니라 PHP 자체의 문제인 만큼, 프로그램을 안전하게 만들어 둔 사이트도 영향을 받을 수 있다.

정부는 위기평가 회의를 거쳐 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 상향 조정했다. 유럽연합 사이버보안기관(CERT-EU)과 영국·네덜란드·독일 등 주요국 보안 기관도 이번 취약점을 '치명적' 등급으로 평가하고, 업데이트가 어려운 시스템은 인터넷에서 분리하거나 일시 중단할 것을 권고하고 있다.

PHP 개발팀은 10월 21일(현지시각) 취약점을 해결한 보안 업데이트를 배포했고, KISA는 같은 날 보호나라 누리집을 통해 보안 업데이트 권고문을 게시했다. PHP를 쓰는 기업·기관은 운영 중인 모든 홈페이지와 시스템의 버전을 확인한 뒤 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상으로 즉시 업데이트해야 한다. 업데이트 후에는 웹 서비스를 재시작해야 보안 조치가 적용된다. 공식 업데이트가 제공되지 않는 PHP 8.1 이하 구버전은 지원되는 상위 버전으로 전환해야 한다.

오래전에 만들어 두고 관리하지 않는 홈페이지나 외주로 제작한 쇼핑몰, 장비 관리 화면에도 PHP가 쓰였을 수 있어 꼼꼼한 확인이 필요하다. 호스팅 업체를 통해 홈페이지를 운영하는 소상공인은 이용 중인 업체에 업데이트 적용 여부를 문의하면 된다. 취약점 정보가 이미 유출된 만큼 업데이트를 마친 서버라도 이상 접속 기록이나 웹셸 설치 여부 등 침해 흔적을 점검하고, 피해가 의심되면 KISA에 신고해야 한다.

개인정보보호위원회는 PHP 기반 데이터베이스 관리도구인 phpMyAdmin 등이 외부에 노출되거나 과도한 접근 권한이 부여된 경우 대량 개인정보가 유출될 위험이 있다고 경고했다. 양청삼 개인정보보호위원회 사무처장은 "이번 취약점은 홈페이지 자체의 침해에 그치지 않고, 이와 연결된 데이터베이스에 저장된 다수 이용자의 개인정보가 유출되는 등 대규모 피해로 이어질 우려가 있다"며 "보안 업데이트와 함께 의심스러운 접속 점검 등 관리 체계를 강화해 국민의 개인정보가 유출되지 않도록 각별히 주의해야 한다"고 말했다. 개인정보위는 긴급 조치와 데이터베이스 접근 통제, 대량 유출 방지, 관리 사각지대 점검 등 4개 보호조치 이행을 당부했다.

과기정통부와 KISA는 CISO 신고기업과 주요정보통신기반시설, 정보보호 관리체계(ISMS) 인증기업, 웹호스팅사, 인터넷데이터센터(IDC), 사이버위협정보 공유(C-TAS) 회원사 등에 관련 내용을 긴급 전파했고, 국내외 보안업계와 협력해 공격 동향을 계속 모니터링하고 있다. 인터넷에 '공격 시험 코드(PoC)'라며 유포되는 파일 가운데는 악성코드가 숨은 가짜가 많으므로 출처가 불분명한 코드는 내려받거나 실행하지 말아야 한다. 일반 국민은 직접 조치할 사항은 없지만 백신 설치와 최신 보안 업데이트 등 기본 수칙을 지키는 것이 좋다.