PHP 치명적 취약점에 사이버위기 경보 '주의'로 상향…해외에선 "업데이트 못 하면 서버 꺼라"
전 세계 웹사이트 상당수가 쓰는 프로그래밍 언어 PHP에서 치명적인 보안 취약점 2건이 드러나 국내외에 비상이 걸렸다. 로그인 없이도 서버를 장악할 수 있는 결함이다. 국민일보는 22일 미국·유럽·일본의 주요 기관과 기업이 아예 웹사이트를 닫는 '오프라인 전환'에 나섰다고 보도했다. 과학기술정보통신부는 같은 날 정책브리핑을 통해 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 올리고 즉시 보안 업데이트를 하라고 당부했다.
과기정통부와 한국인터넷진흥원(KISA)은 22일 낮 12시부로 경보를 올렸다. 이번 취약점을 이용하면 공격자가 아이디·비밀번호 없이 조작된 요청만 보내도 서버에서 원하는 명령을 실행할 수 있다. 공격이 성공하면 원격조종 파일(웹셸)이 설치되거나 고객 정보가 유출되고, 홈페이지가 변조·마비될 수 있다. 개별 누리집이 아니라 PHP 자체의 결함이어서 홈페이지 프로그램을 안전하게 만들었더라도 피해를 볼 수 있다. 국내에서 많이 쓰는 워드프레스·그누보드도 PHP를 기반으로 돌아간다.
국민일보에 따르면 청와대 국가안보실은 같은 날 민·관·군 사이버안보 긴급대책회의를 열었고, 당국은 3만여 기업·시설에 보안조치를 긴급히 알렸다. 회의를 주재한 송기호 3차장은 얼마나 빨리 조치하느냐가 피해 규모를 가른다며 신속한 대응을 지시했다. 해외 대응은 더 강경했다. 미 국가안보국(NSA)과 연방수사국(FBI)은 취약점이 해결될 때까지 시스템을 오프라인으로 돌리라고 경고했다. 유럽에서는 네덜란드 로테르담 항만, 핀란드 공공네트워크, 벨기에 외무부 웹사이트 등이 문을 닫았다. 일본에서는 다카이치 사나에 총리가 촉구한 뒤 재무성·미즈호은행·라쿠텐 등이 일부 서비스를 멈췄다. 과기정통부도 유럽연합 사이버보안기관(CERT-EU)과 영국·네덜란드·독일 보안기관이 이번 취약점을 '치명적' 등급으로 평가했다고 밝혔다. 이들 기관은 당장 업데이트가 어려운 시스템은 인터넷에서 분리하라고 권고했다.
국민일보는 각국이 이런 초강수를 둔 배경으로 PHP의 높은 점유율과 패치 지연을 꼽았다. W3Techs 집계로는 서버 언어가 확인된 전 세계 웹사이트의 69.3%가 PHP를 쓰고, 한국어 사이트는 78.2%로 더 높다. 기존 시스템과 충돌할 수 있다는 우려 때문에 패치가 늦어지는 사이 공격이 먼저 들어올 수 있다. 패치 배포업체 체인가드가 예정보다 6시간 일찍 패치 이미지를 공개해 해커들이 역분석할 틈이 생긴 점도 위험을 키웠다. 이번 결함은 보안업체 캘리프가 오픈AI의 'GPT-5.6 솔'을 활용해 찾아냈다.
취약점이 있는 버전은 PHP 8.2~8.5다. 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상으로 올린 뒤 웹 서비스를 재시작해야 하고, 지원이 끝난 8.1 이하는 상위 버전으로 옮겨야 한다. 과기정통부는 PHP 개발팀이 21일(현지시간) 업데이트를 배포했다고 밝혔다. 관리하지 않고 방치된 누리집, 외주로 만든 쇼핑몰, 장비 관리 화면까지 점검하고, 업데이트를 마친 뒤에도 침해 흔적을 확인하라고 했다. 인터넷에 도는 '공격 시험 코드(PoC)' 가운데 악성코드가 숨은 가짜가 많다는 경고도 덧붙였다. 국민일보에 따르면 카페24와 가비아는 호스팅 서버에 긴급 패치를 적용했다. 에버스핀은 공격을 막는 차단 규칙을 적용했고, 티오리는 대응 가이드를 배포했다.
두 자료를 나란히 놓으면 초점이 다르다. 과기정통부 발표는 '무엇을 해야 하나'에 맞춘 행동 지침으로, 점검 대상과 신고 절차, 소상공인과 일반 국민이 할 일을 나눠 제시했다. 국민일보는 '왜 이렇게까지 하나'에 무게를 두고 각국의 서버 차단 사례, 국내 점유율, 패치 조기 공개, AI가 찾아낸 결함이라는 맥락을 더했다. 그런데도 두 자료는 같은 결론으로 모인다. 배경훈 부총리는 '수동 점검 후 수일 내 패치'로는 공격을 막을 수 없다며 웹방화벽 룰셋을 미리 적용하는 자동화 대응을 강조했다. 국민일보가 전한 전문가들도 웹방화벽 가상 패치와 정부 차원의 대응을 주문했다. 한국어 웹사이트의 PHP 의존도가 세계 평균보다 8.9%포인트 높은 만큼, 스스로 대응할 여력이 부족한 중소 사업자를 얼마나 빨리 보호하느냐가 국내 대응의 관건이다.
