PHP 보안 취약점과 정부의 사이버위기 경보 상향

무슨 일인가

과학기술정보통신부는 10월 22일 낮 12시 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 올렸습니다. 한국인터넷진흥원(KISA)은 침해사고 대응 인력을 늘리고 비상출동조가 상시 대기하도록 했습니다. 이번 경보 상향은 PHP 보안 취약점에 선제적으로 대응하기 위한 조치로, 당국은 웹사이트 운영 기업과 기관에 긴급 보안 수칙을 함께 안내했습니다.

PHP는 웹사이트를 만드는 데 쓰는 프로그래밍 언어입니다. 송기호 국가안보실 3차장은 이번 취약점을 이용하면 인증 절차 없이 서버를 장악할 수 있다고 설명했습니다. 또 해외에서 이미 공격 시도가 보고됐다며, 보안 조치를 얼마나 빨리 적용하는지가 피해 규모를 좌우한다고 말했습니다.

정부와 KISA가 권고한 핵심 조치는 PHP를 최신 보안 버전으로 업데이트하고 서버를 재시작하는 것입니다. 공식 보안 지원이 끝난 PHP 8.1 이하를 쓰는 경우에는 보안 업데이트가 제공되는 PHP 8.2 이상으로 바꾸도록 안내했습니다. 구형 버전의 사용자는 지원되는 버전으로 전환해야 하며, 이미 지원되는 버전을 쓰는 운영자에게도 최신 보안 업데이트 적용이 권고됐습니다.

업데이트를 곧바로 적용하기 어려운 웹사이트에는 외부 접속 제한 등 임시 보호 조치가 권고됐습니다. 서버 접속 기록과 악성 프로그램이 설치된 흔적도 점검하고, 침해가 의심되면 KISA에 즉시 신고하도록 했습니다. 국가안보실이 주재한 회의에서도 신속한 업데이트와 함께 즉시 설치가 어려운 사이트의 임시 보호 방안, 침해 흔적 점검을 논의했습니다.

국가안보실은 10월 22일 민관군 사이버안보 긴급대책 회의를 열어 공공·민간·국방 부문의 PHP 사용 현황과 대응 상황을 점검했습니다. 과학기술정보통신부와 국방부, 국가정보원 관계자 등이 참석했으며, 기관들은 보안 위협 정보와 대응 현황을 실시간으로 공유하기로 했습니다. 안보실은 각 부문의 조치 상황을 계속 살피고, 상황이 바뀌면 추가 조치를 검토할 방침이라고 밝혔습니다.

배경과 경위

이번 대응은 여러 웹사이트에서 쓰는 공통 소프트웨어의 결함이 발견되면서 시작됐습니다. 과학기술정보통신부와 KISA는 웹사이트 운영 주체에 업데이트를 요청했고, 국가안보실은 부문별 대응을 함께 점검했습니다. 정부는 개별 사이트의 보안 조치를 권고했고, 관계 기관들은 대응 정보를 공유하기로 했습니다.

누가 무엇을 주장하나

송기호(국가안보실 3차장)

취약점을 이용한 해외 공격 시도가 보고된 만큼 신속한 조치가 필요하다고 강조했습니다. 민관군이 협력해 조치를 완료해 달라고 요청했으며, 국가안보실은 공공기관과 군의 PHP 사용률이 낮아 상대적으로 안전한 상황이라고 설명했습니다.

행정안전부

정부24와 지방세 시스템 등 소관 정보 시스템 217개를 조사한 결과 PHP로 개발한 시스템이 없었고, 10월 22일 현재 해킹이나 장애 등 특이사항도 없었다고 밝혔습니다. 정부 시스템은 주로 자바 언어를 기반으로 개발됐다고 설명했습니다. 다만 지자체 일부 시스템의 PHP 사용 가능성을 배제할 수 없어 지자체와 산하 공공기관에 보안 패치를 적용하도록 공문을 보냈다고 밝혔습니다.

확인된 사실과 엇갈리는 주장

매체에 따라 달랐던 점

용어 풀이

보안 패치

소프트웨어에서 발견된 보안 결함을 고치기 위해 적용하는 수정 프로그램입니다.

앞으로 확인할 것

• 국가안보실은 관계 기관의 조치 상황을 지속 점검하고, 상황 변화에 따라 필요한 추가 조치를 검토하겠다고 밝혔습니다.