PHP 취약점 확산에 정부 대응…패치 전 공격법 유출, 무엇이 긴급한가

전 세계 웹사이트의 70% 이상이 사용하는 프로그래밍 언어 PHP에서 치명적인 메모리 보안 취약점 2건이 발견됐다. 원격코드실행(RCE)으로 공격자가 시스템에서 코드를 실행하거나, 서비스거부공격(DoS)으로 서비스를 마비시킬 수 있는 결함이다.

미국과 유럽연합(EU) 등 주요국에 이어 한국 정부와 한국인터넷진흥원(KISA)도 대응에 나섰다.

위험을 키운 건 공격 방법이 공식 보안 패치보다 먼저 유출됐다는 점이다. 취약점을 악용한 실제 해킹과 추가 피해가 우려되는 가운데, KISA는 긴급 업데이트와 시스템 오프라인 전환을 권고했다.

다만 서비스를 새 버전과 호환되는지 점검하는 데 시간이 걸릴 수 있고, PHP 8.1 이하 구버전에는 공식 패치가 제공되지 않아 모든 운영자가 곧바로 업데이트할 수 있는 상황은 아니다. 보안업계와 당국이 시스템 점검과 추가 보안수칙 적용을 함께 당부하는 이유다.

정부는 22일 과학기술정보통신부와 KISA의 위기평가 회의를 거쳐 민간 분야 사이버위기 ‘주의’ 경보를 발령했다. 이어 배경훈 부총리 겸 과학기술정보통신부 장관은 23일 국정감사에서 PHP에 국한하지 않고 근본적인 대책을 마련할 필요가 있다며, 부처 차원의 종합 대책을 세워 보고하겠다고 밝혔다.

이번 대응은 취약한 프로그램의 패치만 기다리는 방식으로는 보안 공백을 막기 어렵다는 점을 드러낸다.

당장 확인할 것은 웹서비스에 PHP가 쓰이는지, 사용 중인 버전이 무엇인지다. 패치 적용이 가능한 경우에도 서비스 호환성을 확인해야 하며, 구버전처럼 공식 업데이트를 받을 수 없는 환경은 별도의 보안 조치와 점검이 필요하다.

공격 기법이 먼저 공개된 상황에서 취약한 시스템을 파악하고 대응 우선순위를 정하는 일이 긴급해졌다.