로그인 없이 뚫린 PHP, 전 세계 비상

로그인 없이 뚫린 PHP, 전 세계 비상

핵심 요약
• 전 세계 웹사이트의 약 70% 이상이 사용하는 프로그래밍 언어인 PHP에서 별도의 인증 절차 없이 서버 시스템을 장악할 수 있는 보안 취약점이 발견됐다.
• 과학기술정보통신부와 한국인터넷진흥원은 대규모 해킹 피해 가능성에 대비해 민간 사이버위기 경보를 ‘주의’로 격상하고 즉각적인 보안 업데이트를 권고했다.

핵심 포인트

1. 이번 PHP 보안 취약점의 핵심 위험성은 무엇인가?
• 공격자가 아이디나 비밀번호를 몰라도 서버에 조작된 요청을 보내 원격으로 임의의 코드를 실행(RCE)하고 서버를 장악할 수 있다.
• 국제 보안 취약점 평가체계(CVSS 4.0) 기준 10점 만점에 최고 위험 수준인 9.2점을 기록한 ‘치명적 (Critical)’ 등급 결함이다.
• 서버 메모리에 담긴 데이터베이스(DB) 비밀번호나 외부 서비스 연동 키(API 키) 등 민감한 인증 정보까지 통째로 유출시킬 수 있다.

2. 국내외 기관과 기업들은 어떻게 대응하고 있는가?
• KISA와 미국 국가안보국(NSA), 유럽연합 등 각국 사이버보안 당국은 영향을 받는 버전(PHP 8.2~8.5)의 즉각적인 공식 보안 패치를 최우선으로 권고했다.
• 네덜란드, 핀란드, 캐나다 등 일부 국가의 정부 기관은 해킹을 미연에 방지하고자 웹사이트 접속을 일시적으로 오프라인 상태로 전환했다.
• 당장 패치가 어려운 중소기업이나 대형 플랫폼 등은 예방 차원에서 이미지 업로드 기능을 차단하거나 외부 접속을 임시로 막는 조치를 취하고 있다.

3. 이번 취약점 사태가 미칠 파급력은 어느 정도인가?
• 전 세계 웹사이트의 약 70~75%가 PHP를 기반으로 구동되며, 점유율 1위 웹사이트 제작 도구인 ‘워드프 레스’도 PHP를 사용해 잠재적 피해 범위가 기하급수 적으로 넓다.
• 해외 보안업체를 중심으로 실제 공격 시도가 여러 건 보고되고 있어, 해커가 원격조종 파일(웹셸)을 설치해 고객 정보를 유출하는 2차 피해 확산 우려가 크다.
• 최근 인공지능 보안 탐지 도구를 통해 발견된 만큼, 공격자들 역시 AI를 활용해 패치되지 않은 서버를 빠르게 스캔하고 무차별 공격을 가할 가능성이 높다.

유사 사례 및 관련 용어

• 로그4j(Log4j) 사태: 2021년 전 세계 자바(Java) 서버를 위협했던 최악의 취약점 사태로, 이번 PHP 취약점과 마찬가지로 로그인 없이 원격 코드 실행(RCE)이 가능해 글로벌 IT 시스템을 멈춰 세운 바 있다.
• 웹셸(WebShell): 해커가 웹서버를 원격에서 조종하기 위해 업로드하는 악성 스크립트 파일이다. 취약점을 뚫은 해커가 가장 먼저 설치하는 일종의 백도어 프로그램 이다.
• CVSS (Common Vulnerability Scoring System): 국제적으로 통용되는 소프트웨어 보안 취약점 위험도 평가 척도다. 이번처럼 9.0 이상의 점수를 받으면 즉시 대응이 필요한 ‘치명적’ 등급으로 분류된다.

찬성과 반대

찬성 
• 공격자가 로그인 없이도 관리자 권한을 빼앗을 수있으므로, 보안 공백 기간이 단 하루만 길어져도 치명적인 랜섬웨어 감염이나 대량의 데이터 유출 피해로 이어질 수 있다.
• 해커들의 자동화 스캐닝 도구가 취약한 서버를 무작위로 찾아내기 전에 제조사가 공식 배포한 패치를 신속히 덮어씌우는 것만이 근본적이고 확실한 예방책이다.

반대
• 충분한 호환성 테스트 없이 서버 핵심 언어인 PHP 의 버전을 강제로 올리면, 기존에 작성된 웹사이트 코드와 엉켜 심각한 서비스 장애나 장기적인 오작 동을 유발할 수 있다.
• 전문 IT 인력과 대응 예산이 턱없이 부족한 영세 쇼핑몰 및 중소기업 입장에 서는 즉각적인 패치 작업 자체가 불가능에 가까우므 로, 네트워크 방화벽 차단 이나 주요 기능 일시 중지등 임시방편을 우선시하는 것이 더 현실적이다.