전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 'PHP'에서 인증 없이 시스템을 장악할 수 있는 치명적인 보안 취약점이 발견돼 국내외가 비상이다. 국내에서 취약한 버전이 설치된 것으로 추정되는 인터넷 자산이 약 11만건에 달하고 공격 코드까지 공개되면서 정부가 긴급 대응에 나섰다.
22일 과학기술정보통신부와 한국인터넷진흥원(KISA)에 따르면 정부는 이날 낮 12시부터 민간 분야 사이버위기 경보를 기존 '관심'에서 '주의'로 상향했다. 국내 다수 홈페이지에 영향을 미칠 수 있고 해킹 피해가 확산할 가능성이 있다는 판단에서다.
이번 취약점은 공격자가 서버 공격을 위해 악용하면 보안 패치가 적용되지 않은 서버에서는 허가받지 않은 프로그램을 실행할 수 있다. 악용될 경우 개인정보 유출과 홈페이지 변조, 서비스 마비 등으로 이어질 수 있다. PHP는 기업 사이트와 중소 쇼핑몰 등에 폭넓게 쓰인다.
미 일간 월스트리트저널(WSJ)에 따르면 이번 결함은 보안업체 캘리프(Calif)의 연구원 라이언 오스틴이 지난 8월 오픈AI의 인공지능(AI) 모델을 활용해 PHP 소스코드를 분석하던 중 발견했다. 과거에도 결함 가능성이 제기됐지만 실제 공격에 활용하기 어렵다고 여겨졌던 문제를 AI의 도움으로 악용 가능한 수준까지 분석했다. 이후 구글 산하 보안업체 위즈(Wiz)와 오픈AI 연구진도 추가 공격 경로를 확인했다.
PHP 개발팀은 지난 21일(현지시간) 취약점을 수정한 보안 업데이트를 공개했다. 안랩 조사에서는 업데이트 배포 전 기준 국내 취약 호스트가 약 11만건으로 집계됐다. 전 세계에서 여섯 번째로 많은 규모다. 다만, 패치 배포업체인 '체인가드'가 공식 배포 예정시간보다 약 6시간 이상 앞서서 패치가 적용된 이미지를 기습 공개해 공격자들이 공격 도구를 개발할 수 있다는 우려가 제기돼 위기감이 고조되고 있다.
정부는 침해사고 대응 인력을 늘리고 비상출동조를 상시 대기시키는 등 대응 체계를 강화했다. 정보보호 관련 기업과 웹호스팅 업체, 주요 정보통신기반시설 등에 긴급 보안조치를 안내하고 중소기업의 패치 지원도 검토하고 있다.
배경훈 부총리 겸 과기정통부 장관은 "이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있다"라며 "공격코드까지 이미 공개된 상황인 만큼 매우 시급한 대응이 필요하다"고 밝혔다.
