PHP 보안 취약점 2건이 공개되면서 정부가 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 올렸어요. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 지난 22일 PHP로 홈페이지를 운영하는 기업·기관에 보안 업데이트를 즉시 적용하라고 당부했어요. 로그인 없이도 서버를 장악할 수 있는 수준의 결함이라 대규모 해킹 우려가 커졌기 때문이에요.
PHP 보안 취약점, 왜 위험한가
과기정통부 설명에 따르면 이번 취약점은 공격자가 아이디·비밀번호 없이 특수하게 조작한 요청만 보내도 서버에서 원하는 명령을 실행할 수 있어요. 공격에 성공하면 원격조종 파일(웹셸) 설치, 고객 정보 유출, 홈페이지 변조·마비로 이어질 수 있어요.
더 큰 문제는 개별 홈페이지 프로그램이 아니라 PHP 자체의 결함이라는 점이에요. 홈페이지를 아무리 안전하게 만들었어도 PHP 버전이 낡았다면 영향을 받을 수 있어요.
개인정보보호위원회는 이 취약점이 국제 평가 기준(CVSS) 10점 만점에 9.2점으로 ‘치명적’ 등급을 받았다고 밝혔어요. 홈페이지와 연결된 데이터베이스의 개인정보까지 대량으로 빠져나갈 수 있다는 경고예요.
PHP2Shell 대응, 운영자가 할 일
PHP 개발팀은 현지시간 21일 취약점을 고친 보안 업데이트를 배포했고, KISA도 같은 날 보호나라 누리집에 권고문을 올렸어요. 정부가 안내한 조치를 순서대로 정리하면 아래와 같아요.
| 단계 | 할 일 |
|---|---|
| 버전 확인 | 운영 중인 모든 홈페이지·시스템의 PHP 버전 점검 |
| 업데이트 | 최신 보안 버전 적용, PHP 8.1 이하는 지원 버전으로 전환 |
| 재시작 | 업데이트 뒤 웹 서비스를 반드시 재시작 |
| 침해 점검 | 이상 접속 기록·웹셸 설치 여부 확인, 의심 시 KISA 신고 |
| DB 보호 | phpMyAdmin 등 관리도구 외부 접근 제한, DB 접근 권한 최소화 |
구버전 PHP는 상위 버전 전환 필수
PHP 8.1 이하 구버전은 공식 업데이트가 나오지 않아요. 지원되는 상위 버전으로 옮기지 않으면 패치 자체가 불가능해요.
잊고 있던 홈페이지도 점검
정부는 오래전에 만들어 두고 방치한 누리집, 외주로 만든 쇼핑몰, 장비 관리 화면에도 PHP가 쓰일 수 있다며 꼼꼼한 확인을 당부했어요. 지디넷코리아 보도처럼 워드프레스·그누보드 같은 홈페이지 제작 도구도 PHP로 돌아가니 서버 버전을 확인해 봐야 해요.
호스팅 쓰는 소상공인은 어떻게?
호스팅 업체를 통해 홈페이지를 운영한다면 직접 서버를 만질 필요는 없어요. 정부는 이용 중인 호스팅 업체에 보안 업데이트 적용 여부를 확인하면 된다고 안내했어요.
일반 이용자가 직접 조치할 사항은 없지만 백신 설치와 최신 보안 업데이트 같은 기본 수칙은 지키는 게 좋아요. 인터넷에 ‘공격 시험 코드’라며 도는 파일 중엔 악성코드가 숨은 가짜가 많으니 내려받지 마세요.
정부, 범부처 보안 대책 예고
배경훈 부총리 겸 과기정통부 장관은 수동 점검 후 며칠 안에 패치하는 기존 방식으로는 이번 공격을 막기 어렵다며, 즉각 차단과 웹방화벽 규칙 선제 적용 같은 자동화된 대응이 필요하다고 강조했어요. 디지털투데이 보도에 따르면 배 부총리는 23일 국정감사에서 PHP를 넘어 전반적인 사이버보안 대책을 세우겠다고 밝혔어요.
현재 민간 분야 사이버위기 경보는 ‘주의’ 단계가 유지되고 있어요. 과기정통부와 KISA가 공격 동향을 계속 지켜보고 있고 범부처 대책도 곧 나올 예정이니, 홈페이지를 운영한다면 오늘 PHP 버전부터 확인해 보세요.
답글 남기기