웹사이트 개발에 널리 쓰이는 PHP에서 치명적인 보안 취약점이 발견되면서, 장기간 관리되지 않은 홈페이지와 중소기업의 보안 사각지대를 점검해야 한다는 지적이 나온다. 인공지능(AI)을 활용한 취약점 발굴이 확대되는 데 맞춰 선제적인 점검체계를 갖춰야 한다는 제언도 제기됐다.
22일 보안업계는 PHP를 사용하는 시스템을 빠짐없이 파악하고, 보안 패치를 적용하는 것이 급선무라고 강조했다. 즉각적인 업데이트가 어렵다면 외부 접속을 차단하거나 서비스를 일시 중단하는 방안도 검토해야 한다고 조언했다.
공격자는 PHP 취약점을 활용해 별도의 인증 없이 서버에서 임의의 코드를 실행할 수 있는 것으로 조사됐다. 홈페이지 기능 오류를 넘어 서버 장악으로 이어질 수 있다는 점에서 위험성이 크다.
가장 직접적인 대응은 사용 중인 PHP 버전과 설정을 파악하고 보안 업데이트를 신속히 적용하는 것이다.
PHP 개발진은 8.2 이상 버전에 대한 보안 패치를 공개했지만, 8.1 이하 버전은 공식 지원이 종료됐다. 구버전은 호스팅 업체나 운용체계(OS) 공급사의 별도 패치 제공 여부를 확인하고 장기적으로 상위 버전으로 업그레이드 해야 한다.
가비아 관계자는 “지원 중인 버전을 유지하고 보안 패치를 신속히 적용하는 것이 가장 확실한 대책”이라며 “즉시 업데이트가 어렵다면 외부 접근을 제한하는 등 임시 조치를 병행해야 한다”고 말했다.
또 대표 홈페이지뿐 아니라 잊혀진 시스템이 있는지도 확인해야 한다. 박세준 티오리 대표는 사회관계망서비스(SNS)를 통해 “예전에 만들어 두고 잊은 사이트, 외주로 만든 쇼핑몰, 장비 관리 페이지에도 PHP가 숨어 있을 수 있다”고 경고했다.
전문가들은 패치를 바로 적용하기 어렵다면 외부 접속을 임시로 차단하는 방안도 고려해야 한다고 제언한다. 실제 해외에서는 정부가 일부 홈페이지를 폐쇄하는 사례도 나왔다. 네덜란드는 전자정부 인증서비스 '디지디(DigiD)'와 정부 행정포털 등을 중단했고, 독일 헤센주와 프랑스 파리시, 핀란드 정부도 일부 공공 웹서비스를 일시 중단했다.
중소기업에 대한 점검이 필요하다는 의견도 나온다. 김호원 한국정보보호학회장은 “대응 사각지대에 있는 곳은 작은 기업들”이라며 “보안에 대한 인력도 없고 투자할 여력도 없다”고 우려했다.
중장기적으로는 새로운 취약점을 신속히 찾아 보완하는 역량을 강화해야 한다는 데 의견을 같이했다. 보안기업을 포함한 AI 협력체계에 예산과 인력을 투입해, 취약점 발굴부터 패치까지 이어지는 활동을 촉진해야 한다는 조언이다.
신종회 아주대 교수는 “모든 소프트웨어는 결함이 발생할 수밖에 없다”며 “결국 AI를 이용해 취약점을 빠르게 찾아 패치하는 것이 방법”이라고 말했다.
강성전 기자 castlekang@etnews.com
