로그인 없이 서버 장악 위험…과기정통부·KISA 긴급 대응

미국 "패치 못 하면 오프라인"…유럽 공공기관 웹사이트 중단

21일(현지시간) 영국 런던의 한 카페에서 노트북으로 작업을 하고 있다. 웹에서 가장 널리 사용되는 프로그래밍 언어 중 하나인 PHP에서 두 건의 치명적인 보안 취약점이 발견되면서 관리자들이 긴급 보안 패치 작업에 나섬에 따라 수요일 유럽 전역의 정부 웹사이트 접속이 중단됐다. [로이터=연합뉴스. 재판매 및 DB 금지]

(서울=연합뉴스) 한상용 권하영 기자 = 전 세계 웹사이트에 널리 사용되는 프로그래밍 언어 PHP에서 로그인 없이 서버를 장악할 수 있는 치명적인 보안 취약점이 발견되면서 국내외에 비상이 걸렸다.

정부는 공격코드까지 공개돼 대규모 해킹 피해가 발생할 수 있다고 보고 22일 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 상향하고 긴급 대응에 나섰다.

미국과 영국이 보안 업데이트가 어려운 시스템의 오프라인 전환을 권고한 가운데 유럽에서는 공공기관과 병원 등의 웹사이트가 잇따라 운영을 중단하는 등 파장이 확산하고 있다.

◇ 정부, 비상대응 체계 가동…기업·기관에 긴급 보안조치 안내

과기정통부와 KISA는 이날 위기평가 회의를 거쳐 낮 12시를 기해 민간 분야 사이버위기 '주의' 경보를 발령했다.

PHP가 국내 수많은 홈페이지에 사용되는 데다 공격코드까지 공개돼 대규모 해킹으로 이어질 수 있다는 판단에 따른 것이다.

민간 분야 사이버위기 경보는 관심·주의·경계·심각의 4단계로 구분된다.

주의 경보 발령에 따라 침해사고 대응 인력을 증원하고 비상출동조를 상시 대기시키는 등 비상대응 체계를 가동한다.

두 기관은 정보보호 최고책임자(CISO) 신고기업 약 2만8천곳과 사이버위협정보 공유체계(C-TAS) 회원사 약 5천900곳, 주요정보통신기반시설, 정보보호 관리체계(ISMS) 인증기업, 웹호스팅사 등에 관련 보안조치를 긴급 전파했다.

국내외 보안업계와 협력해 공격 동향을 지속적으로 감시하는 한편, 중소기업에 대한 긴급 패치 지원 등 추가 지원 방안도 검토하고 있다.

KISA는 보호나라 누리집에 PHP 보안 업데이트 권고문을 게시하고 홈페이지 운영 기업·기관에 신속한 조치도 요청했다.

배경훈 부총리 겸 과기정통부 장관은 "이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고 공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다"고 밝혔다.

이어 기존의 수동 점검 후 수일 내 패치하는 통상적인 대응만으로는 공격을 방어하기 어렵다며 인터넷에 노출된 시스템에 대한 즉각적인 차단과 웹방화벽 규칙 선제 적용 등 자동화된 대응 체계가 필수적이라고 강조했다.

◇ 로그인 없이 서버 명령 실행 위험…업데이트 후 침해 흔적도 점검해야

이번에 공개된 취약점은 개별 홈페이지 프로그램이 아닌 PHP 자체의 결함이다.

이 때문에 홈페이지를 안전하게 개발했더라도 영향을 받을 수 있다.

공격자가 아이디나 비밀번호 없이 특수하게 조작한 요청을 보내 서버에서 임의의 명령을 실행할 수 있는 위험이 있다.

공격에 성공하면 서버에 원격조종 파일인 웹셸을 설치하거나 고객 정보를 빼내고 홈페이지를 변조·마비시키는 등 중대한 피해로 이어질 수 있다는 지적도 나온다.

이러한 우려에 PHP 개발팀은 21일(현지시간) 취약점을 수정한 보안 업데이트를 배포했다.

PHP를 사용하는 기업·기관은 운영 중인 홈페이지와 시스템의 버전을 확인해 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상으로 업데이트해야 한다.

업데이트 후에는 웹 서비스를 반드시 재시작해야 보안조치가 적용된다.

공식 업데이트가 제공되지 않는 PHP 8.1 이하 구버전은 지원되는 상위 버전으로 전환해야 한다.

오래전에 제작한 뒤 관리하지 않는 홈페이지나 외주로 제작한 쇼핑몰, 장비 관리 화면 등에도 PHP가 사용됐을 수 있어 꼼꼼한 확인이 필요하다.

업데이트를 마쳤더라도 이상 접속 기록이나 웹셸 설치 여부 등 침해 흔적을 점검하고 피해가 의심되면 즉시 KISA에 신고해야 한다.

호스팅 서비스를 이용하는 소상공인 등은 해당 업체에 업데이트 적용 여부를 확인하면 된다.

◇ 미국 "업데이트 못 하면 오프라인 전환"…유럽 공공·민간 웹사이트 중단

해외에서도 긴급 업데이트 권고와 예방적 서비스 중단 등 대응이 이어지고 있다.

미국 국가안보국(NSA)은 21일 보안 권고문에서 PHP를 사용하는 시스템을 파악하고 관련 패치를 즉시 적용할 것을 당부했다.

즉각적인 업데이트가 어려우면 위험을 충분히 해소할 때까지 해당 시스템을 오프라인으로 전환하라고 권고했다.

로이터 통신 등 외신에 따르면 네덜란드에서는 국가사이버보안센터의 권고에 따라 여러 기관이 대외용 웹사이트 운영을 중단했다.

로테르담 항만과 정부 포털사이트, 네덜란드축구협회, 주요 정당과 병원 웹사이트 등이 대상에 포함됐다.

핀란드에서도 정부 공공 네트워크 서비스가 예방적으로 오프라인으로 전환됐다.

덴마크에서는 지방자치단체를 위한 IT기업 콤비트가 공립학교 소통 플랫폼 등 다수의 서비스를 중단했다.

벨기에에서도 외무부와 사이버보안센터, 플란데런 정부·의회 등의 웹사이트가 선제적으로 운영을 멈췄다.

영국 국가사이버보안센터(NCSC) 역시 즉각적인 보안조치를 촉구하면서 당장 조치하기 어려운 시스템은 위험을 해소할 때까지 오프라인으로 전환하는 방안을 고려해야 한다고 권고했다.

gogo213@yna.co.kr

kwonhy@yna.co.kr

Copyright 연합뉴스 All rights reserved. 무단 전재 및 재배포 금지.