이름(Name)
e-메일(E-mail)
PHP 구멍에 세계가 긴장…정부, 사이버위기 경보 격상
로그인 없이 서버 장악 위험
기업·기관에 보안조치 전파
취약 서버 11만 건 추정
유럽선 공공 웹사이트 중단
박동해 기자 eastsea@busan.com
가
부산닷컴 기사퍼가기
busan.com 기사추천 메일보내기
PHP 구멍에 세계가 긴장…정부, 사이버위기 경보 격상
받는 분(send to)
보내는 분(from)
이름(Name)
e-메일(E-mail)
전하고 싶은 말
전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 인증 없이 시스템을 장악할 수 있는 치명적인 보안 취약점이 발견되자 정부는 22일 관련 기업에 보안 조치를 안내하는 등 긴급 대응에 나섰다. 연합뉴스
웹사이트 제작에 널리 쓰이는 프로그래밍 언어 PHP에서 로그인 없이 서버를 장악할 수 있는 결함이 드러나자 정부가 사이버위기 경보를 올리고 비상대응 체계에 들어갔다.
과학기술정보통신부와 한국인터넷진흥원(KISA)은 위기평가 회의를 거쳐 22일 정오를 기해 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 한 단계 올렸다. 경보는 관심·주의·경계·심각 4단계로 나뉜다.
경보를 격상한 것은 PHP가 국내 수많은 홈페이지에 쓰이는 데다 공격 코드까지 공개됐기 때문이다. 두 기관은 대규모 해킹으로 번질 수 있다고 보고 침해사고 대응 인력을 늘렸다. 비상출동조도 상시 대기시키기로 했다.
보안조치는 정보보호 최고책임자(CISO) 신고 기업 약 2만 8000곳과 사이버 위협정보 공유체계(C-TAS) 회원사 약 5900곳에 긴급 전파됐다. 주요정보통신기반시설과 정보보호 관리체계(ISMS) 인증기업, 웹호스팅사도 대상에 들었다. KISA는 보호나라 누리집에 업데이트 권고문을 올렸고, 정부는 보안 인력이 부족한 중소기업에 긴급 패치를 지원하는 방안도 검토하고 있다.
과기정통부는 기존처럼 수동으로 점검한 뒤 며칠 안에 패치하는 방식으로는 공격을 막기 어렵다고 판단했다. 인터넷에 노출된 시스템을 즉시 차단하고 웹방화벽 규칙을 미리 적용하는 등 자동화된 대응 체계가 필수라고 강조했다.
PHP는 이용자가 로그인하거나 글을 쓰고 결제할 때 그 요청을 서버에서 처리하는 프로그램을 만드는 언어다. 웹 기술 분석업체 W3Techs 집계로는 사용 언어를 식별할 수 있는 웹사이트의 약 75%가 PHP로 돌아간다. 전체 웹사이트의 약 43%가 쓰는 제작 도구 ‘워드프레스’도 PHP 기반이다.
이번 결함은 개별 홈페이지가 아니라 PHP 자체에 있다. 홈페이지를 아무리 안전하게 만들었어도 PHP 위에서 돌아가면, 공격자가 아이디·비밀번호 없이 조작한 요청만으로 서버에 명령을 내릴 수 있다. 서버를 손에 넣은 공격자는 원격조종 파일인 웹셸을 심거나 고객 정보를 빼낼 수 있다. PHP 개발진은 21일(현지시간) 결함 2건을 고친 새 버전을 긴급 배포했다.
국내 노출 규모도 작지 않다. 보안업체 안랩은 패치 배포 전 기준으로 취약한 버전의 PHP가 깔린 국내 서버를 약 11만 건으로 추정했다. 세계에서 6번째로 많다. 안랩은 수정 버전이 나오기 전부터 이 결함을 노린 공격 시도가 관측됐다고 전했다.
청와대 국가안보실도 이날 과기정통부·국방부·국가정보원과 민·관·군 사이버안보 긴급대책회의를 열었다. 회의에서는 부문별 PHP 사용 현황을 점검하고, 당장 업데이트하기 어려운 웹사이트의 임시 보호 조치를 논의했다. 참석 기관들은 위협 정보와 대응 현황을 실시간으로 공유하기로 했다.
이어 개인정보보호위원회는 웹서버가 뚫리면 서버와 연결된 데이터베이스(DB)의 이용자 정보까지 대량으로 빠져나갈 수 있다고 경고했다. 개인정보위는 DB 관리 도구인 phpMyAdmin의 인터넷 직접 접근을 막고 웹서비스 계정의 DB 접근권한을 최소화하라고 당부했다.
한편, 해외에서는 아예 서비스를 닫는 곳이 잇따랐다. 미국 국가안보국(NSA)은 즉시 패치하기 어려운 시스템을 오프라인으로 돌리라고 권고했다.
영국 국가사이버보안센터(NCSC)도 오프라인 전환을 고려하라고 했다. 네덜란드에서는 로테르담 항만과 정부 포털, 병원 웹사이트가 운영을 멈췄다. 핀란드 정부 공공 네트워크와 벨기에 외무부 웹사이트도 선제적으로 중단됐다.
ⓒ 부산일보(www.busan.com), 무단전재 및 수집, 재배포금지
# 실시간핫뉴스
오늘의 추천 뉴스
![[BIFF] “‘오징어 게임’ 흥행은 봉준호 감독 ‘1인치 장벽’ 무너진 순간”](/nas/wcms/wcms_data/photos/2021/10/14/2021101419122487843_m.jpg)
가장 많이 본 뉴스
