전 세계 웹사이트 70%가 쓰는 PHP에 로그인 없이 서버 뚫리는 구멍이 생겼다고요 🕳️

지금 보고 있는 이 화면도, 그 언어로 만들어졌을 가능성이 높습니다. 그런데 거기에 구멍이 났다면, 어떻게 될까요.

같은 뉴스, 네 가지 시선. AILENS입니다. 이천이십육년 십월 이십이일, 그러니까 어제 발표된 내용 기준으로 오늘 이야기 시작하겠습니다.

어제 정오, 사이버 위기 경보가 한 단계 올라갔습니다. 조용히, 그러나 빠르게.

배경훈 부총리 겸 과학기술정보통신부 장관이 엑스를 통해 직접 소식을 알렸습니다. PHP라는 프로그래밍 언어에서 심각한 보안 취약점 두 건이 발견됐다는 내용이었습니다. 배 부총리는 이 취약점이 "로그인 없이도 외부에서 서버에 악성 명령을 실행할 수 있는 것"이라고 설명했습니다.

로그인이 필요 없다는 말, 가볍게 넘길 대목이 아닙니다. 보통 해킹이라고 하면 비밀번호를 뚫거나 계정을 탈취하는 과정을 떠올리게 되는데, 이번 취약점은 그 단계 자체를 건너뜁니다. 문을 따는 게 아니라, 문이 원래 열려 있었던 셈입니다.

그래서 정부는 어제 정오부터 민간 분야 사이버 위기 경보를 1단계 '관심'에서 2단계 '주의'로 올렸습니다. 경보라는 게 일상에서 자주 접하는 단어는 아니죠. 평소에는 1단계로 유지되다가, 위협이 커지면 단계를 올려서 각 기관과 기업에 긴장도를 전달하는 방식입니다.

이게 한 기업이나 한 사이트의 문제가 아니라는 점이 이번 사안의 핵심입니다. PHP는 홈페이지를 만들 때 쓰는 프로그래밍 언어인데, 전 세계 웹사이트 가운데 70퍼센트 이상이 이 언어를 쓰고 있습니다. 열 개 중 일곱 개 넘는 사이트가 PHP로 돌아간다는 뜻입니다.

그러니까 특정 산업이나 특정 규모의 기업 문제가 아니라, 인터넷이라는 인프라 전체에 걸린 이야기가 되는 겁니다. 쇼핑몰이든, 관공서 홈페이지든, 개인 블로그든, 이 언어를 쓰고 있다면 예외가 아닙니다.

다만 모든 사이트가 똑같이 위험한 건 아닙니다. 취약점이 있다는 건 '공격 가능한 길이 열렸다'는 뜻이지, 모든 사이트가 이미 뚫렸다는 뜻은 아니거든요. 보안 업데이트를 먼저 적용한 곳과, 아직 손대지 못한 곳 사이에 지금 격차가 벌어지고 있는 중입니다.

실제로 국내 기업과 기관들은 발표 이후 곧바로 보안 강화 업데이트에 나섰습니다. 정부도 침해 대응 인력을 늘리고 비상 출동조를 상시 대기시키는 방식으로 움직이고 있습니다. 청와대 국가안보실은 민관군 사이버 안보 긴급대책회의를 열어서, 당장 대응이 어려운 웹사이트에 대한 임시 보호 조치와 침해 흔적 점검 방안을 논의했습니다.

그런데 여기서 남는 질문이 하나 있습니다. 보안팀을 따로 둘 여력이 없는 작은 사업자나 중소기업은 어떻게 하느냐는 겁니다.

과학기술정보통신부는 중소기업을 대상으로 한 보안 점검과 조치 요청을 검토하겠다는 계획을 밝혔습니다. 다만 아직 구체적인 지원 방식이나 시행 시점까지 확정된 건 아닙니다. 대기업이야 자체 보안팀이 바로 움직일 수 있겠지만, 그렇지 않은 곳들은 이 공백 기간이 가장 불안한 시간일 수밖에 없습니다.

정리하면, 오늘 핵심은 이겁니다. 전 세계 웹사이트 열 개 중 일곱 개 이상이 쓰는 PHP에서, 로그인 없이도 뚫릴 수 있는 구멍 두 개가 발견됐고, 정부는 경보를 한 단계 올려 대응에 나섰습니다. 홈페이지를 운영하고 있다면, 지금 쓰는 PHP 버전에 보안 업데이트가 적용됐는지부터 확인해볼 시점입니다.

같은 뉴스, 네 가지 시선. AILENS였습니다.