단독 '해킹 구멍' PHP…국내 서버 10대 중 9대, '업데이트 불가'

전 세계 홈페이지 상당수가 쓰는 프로그래밍 언어 PHP에서 해킹 구멍이 발견돼 정부가 사이버위기 경보를 울렸다. 그런데 국내 PHP 서버 10대 중 9대는 이 구멍을 막는 보안 업데이트가 불가능한 옛 버전인 것으로 나타났다.

글로벌 보안업체 말로리(Mallory)가 인터넷에 연결된 서버를 찾아 주는 검색엔진 쇼단(Shodan)으로 21일(현지시간) 집계한 결과, 버전 정보가 드러난 한국 PHP 서버 5만6423건 중 89%가 PHP 8.1 이하인 것으로 나타났다. 전 세계 평균 73.5%보다 15%포인트 이상 높다.

과학기술정보통신부 관계자는 "정확한 통계는 없지만 국내 웹페이지의 약 70~80%가 PHP를 이용해 제작된 것으로 추정한다"고 말했다. 이번에 발견된 취약점 2건은 로그인하지 않아도 외부에서 서버에 악성 명령을 내릴 수 있는 결함이다. 해커가 고객 정보를 빼가거나 홈페이지를 바꿔 놓을 수 있다. 10년 넘게 숨어 있던 결함을 AI를 활용한 보안업체 연구진이 찾아냈다.

문제는 옛 버전이다. PHP 개발진은 지난 21일 8.2~8.5 버전용 보안 업데이트를 내놨지만 지원 기간이 끝난 8.1 이하 버전에는 업데이트를 내지 않는다. 박세준 티오리 대표는 페이스북에 "오래된 쇼핑몰처럼 PHP 5, 7 버전에 멈춰 있는 사이트가 많아서 더 주의가 필요하다"고 지적했다.

옛 버전을 쓰는 곳은 새 버전으로 갈아타야 하지만 이마저 쉽지 않다. 웹호스팅 업체 가비아 관계자는 "PHP 버전을 변경하면 기존 코드나 플러그인, 테마에 따라 일부 기능이 정상적으로 동작하지 않는 등 호환성 문제가 발생할 수 있다"며 "상위 버전으로 전환하려면 사이트 소스 수정이 필요한 경우가 많다"고 설명했다.

당장 갈아타기 어렵다면 외부 접속을 막는게 대안이다. 정부는 22일 낮 12시 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 한 단계 올렸다. 배경훈 부총리 겸 과기정통부 장관은 페이스북을 통해 "업데이트가 어려운 경우 외부 접속을 차단하거나 서비스 중단도 검토해달라"고 당부했다.

다만 과기정통부 관계자는 "웹사이트나 서비스를 중단하는 것은 중대한 결정인 만큼 정부가 일률적으로 결정하기는 어렵다"고 했다. 공공부문 웹사이트 보안은 국가정보원 소관이다. 국내 웹사이트 전수조사 여부도 아직 정하지 않았다. 이 관계자는 "실제 취약점 악용에 따른 피해 신고가 접수되는지 등을 살펴보고 있다"고 했다.

이기혁 한국보안정책연구원장은 "PHP를 사용하는 곳은 규모와 관계없이 모두 점검해야 한다"며 "정부가 모든 기업의 보안 조치 비용을 지원할 수는 없다"고 했다. 이어 "정부는 점검 도구와 구체적인 대응 지침을 제공하고, 기업들도 자신의 서버와 데이터를 스스로 보호하기 위한 책임을 다해야 한다"고 강조했다.

반면 장항배 중앙대 산업보안학과 교수는 사고 때마다 반복되는 전수조사 방식을 바꿔야 한다고 지적했다. 장 교수는 "사고가 발생할 때마다 모든 기업과 기관에 빈틈없는 전수조사를 요구하다 보니 보안 담당자들이 밤샘 점검에 시달린다"며 "위험성이 높은 핵심 시스템부터 우선 점검하고 사고 원인을 분석하는 한편, 앞으로 발생할 수 있는 새로운 공격에 대비하는 체계를 마련해야 한다"고 말했다.