세계 각국 PHP 기반 서버 보안 긴급 대응

인증 없이 외부서 시스템 마음대로 장악 가능

전세계 서버 150만개 ‘무방비’ 해킹위험 노출

네덜란드·핀란드 공공기관 웹사이트 셧다운

日 다카이치, 신속 패치적용 등 긴급대응 지시

전 세계 웹사이트의 75%가 사용하는 프로그래밍 언어 PHP의 해킹 가능성이 고조되면서 각국 기업과 기관들에 비상이 걸렸다. 사진은 이날 유럽 컴퓨터긴급대응팀(CERT-EU) 권고에 따라 온라인 접속을 차단한 스위스 제네바대학교 웹사이트(위쪽)와 네덜란드의 한 휴대폰 화면에 표시된 PHP재단 웹사이트 모습. [EPA]
전 세계 웹사이트의 75%가 사용하는 프로그래밍 언어 PHP의 해킹 가능성이 고조되면서 각국 기업과 기관들에 비상이 걸렸다. 사진은 이날 유럽 컴퓨터긴급대응팀(CERT-EU) 권고에 따라 온라인 접속을 차단한 스위스 제네바대학교 웹사이트(위쪽)와 네덜란드의 한 휴대폰 화면에 표시된 PHP재단 웹사이트 모습. [EPA]

인공지능(AI)이 10년 넘게 노출되지 않았던 프로그래밍 언어 PHP의 치명적인 보안 취약점을 탐지하자 개발진은 예정보다 앞당겨 보안 패치를 배포했지만, 해킹 가능성에 대한 우려는 확산하고 있다. 미국 등 각국 보안 당국은 긴급 업데이트를 권고하면서, 즉각적인 업데이트가 불가능하다면 시스템을 오프라인으로 전환하라 권고하기도 했다.

로이터 통신은 21일(현지시간) PHP 사용으로 취약점이 확인된 서버 260만개 가운데 약 150만개는 아직 수정 패치조차 없는 것으로 나타났다고 보도했다. 해커들이 AI를 활용해 공격 도구를 개발하면 외부에서 별도의 로그인 없이도 시스템을 마음대로 휘저을 수 있다는 것이다.

드루팔협회의 티퍼니 패리스 임시 최고경영자(CEO)는 “지난 20년 동안 출시된 모든 버전의 PHP를 사용하는 서버가 취약한 상태”라며 “이번 문제는 인터넷 대부분에 영향을 미친다”고 지적했다.

오픈AI의 모델 ‘GPT-5.6 솔(Sol)’을 이용해 발견된 이번 취약점은 “AI가 발견한 보안 취약점 가운데 역대 가장 심각한 것”으로 평가된다.

사이버보안 기업 아틱울프의 이스마엘 발렌수엘라 부사장은 “인터넷의 기업 및 상업 인프라 중 상당 부분이 잠재적 위험에 노출됐다”라며 모든 웹사이트에 취약점이 있다는 의미는 아니라 전제하면서도 “즉각적인 주의”가 필요하다고 강조했다.

사이버보안 연구·사고대응 기업 TLP:Black의 공동창업자 코스틴 라이우는 AI가 취약점을 악용하기 위한 “경쟁”을 촉발하고 있다며 “다음 단계는 인터넷에 연결된 모든 취약한 웹서버에 대한 대규모 침해가 될 것”이라고 경고했다.

이에 유럽 각국 정부 기관은 긴급 업데이트를 당부하면서 예방적 차원에서 정부 기관 웹사이트 운영을 일시 중단하기도 했다. 네덜란드는 국가사이버보안센터(NCSC)가 자체 웹사이트를 폐쇄한 데 이어 로테르담항과 정부 공식 포털, 5대 주요 정당 및 일부 병원 웹사이트가 운영을 중단했다.

덴마크에서는 지방자치단체 정보기술 서비스 기업 콤비트가 전국 학교 소통 플랫폼을 포함한 여러 서비스를 중단했다. 핀란드 정부의 정보기술 서비스를 담당하는 발토리는 예방적 조치로 정부의 대외 네트워크 서비스를 중단했다. 프랑스 내무부 역시 산하 모든 웹사이트를 예방적 유지보수 상태로 전환했다.

정부 기관뿐 아니라 주요 인터넷 서비스도 예방적 차원에서 일부 시스템을 차단했다. 온라인 백과사전 위키피디아와 온라인 자료 보관소인 인터넷 아카이브 등이 일시적으로 서비스를 중단했다.

미국은 PHP 사용 기관·기업에 즉각적인 업데이트가 어렵다면 아예 시스템을 꺼두라는 지침을 내렸다. 국가안보국(NSA)은 이날 사회관계망서비스(SNS)에 “(PHP의)취약점은 종종 서버의 파일 시스템이나 데이터베이스에 직접 접근할 경로를 제공한다”라며 “즉각적인 업데이트가 불가능하다면, 취약점이 완전히 해결될 때까지 해당 시스템을 오프라인 상태로 전환할 것을 권고한다”고 게시했다.

미 연방수사국(FBI)도 악의적인 행위자들(해커들)이 PHP에서 원격으로 코드를 실행할 수 있다고 경고하면서, 운영자들이 즉시 웹사이트를 업데이트 할 수 없다면 오프라인 상태로 전환하라고 권고했다.

일본 정부와 보안 당국도 신속한 대응을 촉구했다. 22일 요미우리신문과 NHK 등에 따르면 일본의 독립행정법인 정보처리추진기구는 전날 PHP를 이용하고 있는 웹사이트 운영자 등에게 신속히 대응할 것을 요구했다. 정보처리추진기구는 “현재 시점에서 이번 취약성을 악용한 공격을 확인하지는 않았으나, 이후 악용될 우려가 있으므로 신속한 대응을 요청한다”고 밝혔다.

다카이치 사나에 총리도 전날 밤 자신의 엑스(X·옛 트위터)를 통해 “매우 시급하다”며 PHP 관련 대응을 촉구했다. 다카이치 총리는 “운영 중인 웹사이트에서 PHP를 사용하고 있는지 확인하고, 오늘 밤 오후 11시에 공개될 수정 패치를 가능한 한 신속하게 적용할 수 있도록 준비해주기를 바란다”고 말했다. 이어 “수정 패치를 신속하게 적용하기 어려운 경우에는, 예를 들어 웹사이트 등을 일시적으로 정지시키는 것도 위험을 줄이기 위한 효과적인 방법의 하나로 생각된다”고 덧붙였다. 도현정 기자


kate01@heraldcorp.com