웹 언어 PHP 치명적 취약점 발견…정부, 민간 사이버위기 ‘주의’ 발령

PHP 보안 취약점에 민간 위기경보 격상

무단 명령 실행되는 PHP 결함 노출

과학기술정보통신부와 한국인터넷진흥원은 PHP에서 고위험 보안 취약점 2건이 확인됨에 따라 국내 기업과 기관에 최신 버전 업데이트를 당부하고, 민간 분야 사이버위기 경보를 ‘주의’ 단계로 발령했다고 밝혔다. 본 이미지는 자체 AI로 제작함. ⓒ

웹사이트 제작에 쓰이는 프로그래밍 언어 PHP에서 원격 명령 실행이 가능한 보안 취약점이 드러나 정부가 비상 대응에 나섰다.

과학기술정보통신부와 한국인터넷진흥원은 PHP에서 고위험 보안 취약점 2건이 확인됨에 따라 국내 기업과 기관에 최신 버전 업데이트를 당부하고, 민간 분야 사이버위기 경보를 ‘주의’ 단계로 발령했다고 밝혔다.

이번 취약점은 별도 인증 없이 조작된 인터넷 요청만으로 서버 내 임의 명령을 수행할 수 있는 결함이다. 공격을 받으면 웹셸(원격제어 파일) 설치는 물론 고객 정보 유출과 웹페이지 변조 등 시스템 전반이 마비될 수 있다. 개별 웹사이트 코딩 방식과 무관하게 PHP 엔진 자체에 존재하는 문제여서 철저히 제작된 시스템도 위협에 노출된다.

유럽연합 사이버보안기관을 비롯해 영국, 네덜란드, 독일 등 해외 기관도 해당 결함을 최고 위험도로 분류하고 즉각적인 조치나 망 분리를 요구하고 있다. PHP 개발팀은 취약점을 보완한 패치를 공개했다. 한국인터넷진흥원 역시 보호나라 웹사이트를 통해 보안 권고를 안내했다.

PHP를 쓰는 조직은 사용 중인 버전을 점검하고 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 등 패치가 적용된 최신 버전으로 교체해야 한다.

업데이트를 마친 뒤에는 웹 서비스를 재시작해야 패치가 정상 적용된다. 공식 기술 지원이 끝난 PHP 8.1 이하 버전은 패치가 나오지 않으므로 상위 버전으로 이전해야 한다. 관리자가 방치한 페이지나 외주 개발 사이트, 장비 관리 콘솔 등도 전수 확인 대상이다.

취약점 상세 정보가 이미 노출된 상황인 만큼, 패치 적용 전후의 접속 로그를 확인해 웹셸 설치 등 침해 정황이 있는지 살피고 이상이 발견되면 한국인터넷진흥원에 신고해야 한다.

웹호스팅 서비스를 이용하는 소상공인은 해당 호스팅 업체에 패치 적용 여부를 확인하면 된다. 온라인상에 검증용 코드라며 유포되는 파일 중에는 악성코드가 포함된 위장 파일이 많아 출처가 불분명한 프로그램은 실행하지 않아야 한다.

정부는 최고정보보호책임자(CISO) 신고 기업, 정보보호관리체계(ISMS) 인증 기업, IDC, 웹호스팅사 등 주요 사업자에 주의 사항을 전파하고 위협 모니터링을 진행하고 있다. 이번 ‘주의’ 경보 발령에 따라 전담 인력을 늘리고 현장 출동조를 상시 대기시키는 등 비상근무 체제에 들어갔다.

배경훈 부총리 겸 과학기술정보통신부 장관은 “이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고, 공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다”며, “기업 관점에서는 기존의 수동 점검 후 수일 내 패치라는 통상적인 취약점 관리 주기(SLA)로는 공격을 방어할 수 없으며, 인터넷 접점 자산에 대한 즉각적인 차단 및 웹방화벽(WAF) 룰셋 선제 적용 같은 자동화된 대응 체계가 필수적”이라고 말했다.