전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견되면서 정부가 민간 분야 사이버위기 '주의' 경보를 발령했다. 이번 취약점은 별도의 인증 없이 서버에서 명령을 실행할 수 있어 고객정보 유출이나 홈페이지 마비 등 피해가 발생할 수 있는 만큼 각별한 주의가 요구된다.
과학기술정보통신부는 한국인터넷진흥원(KISA)과 위기평가 회의를 거쳐 22일 정오부터 민간 분야 사이버위기 '주의' 경보를 발령했다고 밝혔다. 사이버위기 경보는 관심·주의·경계·심각 등 4단계로 구분된다.
이번 조치에 따라 정부는 침해대응 인력을 증원하고 비상출동조를 상시 대기시키는 등 비상대응 체계를 가동한다.
이번에 공개된 PHP 취약점 2건은 공격자가 인증 절차 없이 특수하게 조작된 요청만으로 서버에서 원하는 명령을 실행할 수 있다는 점에서 위험성이 크다. 해커가 서버에 원격조종 파일인 웹셸을 설치하거나 고객 정보를 빼돌리고 홈페이지를 변조·마비시킬 수 있다. 특히 개별 홈페이지가 아닌 PHP 자체에서 발견된 취약점이어서 웹사이트를 안전하게 개발했더라도 영향을 받을 수 있다.
유럽연합과 영국·독일·네덜란드 등 주요국 사이버보안 기관도 이번 취약점을 치명적인 수준으로 평가했다. 즉각적인 업데이트를 권고하는 한편 조치가 어려운 시스템은 인터넷에서 분리하거나 일시 중단하도록 안내하고 있다.
PHP 개발팀은 지난 21일 취약점을 해결한 보안 업데이트를 배포했다. 영향을 받는 버전은 PHP 8.2부터 8.5까지로, 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상으로 업데이트해야 한다. 공식 보안 지원이 종료된 PHP 8.1 이하 버전은 상위 버전으로 전환해야 한다.
정부는 업데이트 이후에도 비정상적인 접속 기록이나 웹셸 설치 여부 등을 확인하고 침해가 의심되면 KISA에 신고할 것을 권고했다.
정부는 정보보호최고책임자(CISO) 신고기업 약 2만8000곳을 비롯해 주요정보통신기반시설 111개, 정보보호 관리체계(ISMS) 인증기업 1068개, 사이버위협정보 공유체계(C-TAS) 회원사 5900곳 등에 관련 내용을 긴급 전파했다. 웹호스팅 업체와 인터넷데이터센터(IDC) 등 주요 기업 688곳도 대상에 포함됐다.
배경훈 부총리 겸 과기정통부 장관은 "공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다"며 "기존의 수동 점검 후 수일 내 패치라는 통상적인 취약점 관리 주기로는 공격을 방어할 수 없다"고 밝혔다. 이어 "인터넷 접점 자산에 대한 즉각적인 차단과 웹방화벽(WAF) 규칙의 선제 적용 같은 자동화된 대응 체계가 필수적"이라며 "각 부처와 협력해 중소기업 대상 보안점검과 조치 요청을 논의할 예정"이라고 말했다.
