글로벌 사이버 보안 업체 칼리프(Calif)가 오픈AI의 취약점 대응 프로그램 '패치 더 플래닛'(Patch the Planet)에 참여해 PHP 취약점을 발견했다. (사진=패치 더 플래닛 홈페이지 갈무리)
이번에 발견된 취약점은 웹 애플리케이션의 구현 코드와 관계없이 PHP 엔진 자체의 결함으로 발생한다는 점에서 위험성이 크다. 개별 홈페이지의 프로그램이 아닌 PHP 자체의 보안 취약점으로 홈페이지 프로그램을 안전하게 만들었음에도 영향을 받을 수 있다.
웹사이트를 가게에 비유하면 PHP는 손님의 주문을 받아 창고에서 물건을 꺼내고 장부를 확인하는 점원이다. 이번 취약점은 해커가 조작된 주문서를 보내 점원에게 허가되지 않은 일을 시킬 수 있다.
특히 공식 보안 패치가 배포되기도 전에 해킹 가능성을 보여주는 시연 영상과 패치가 적용된 소프트웨어가 외부에 공개됐다. 이를 토대로 취약점 악용 가능성을 입증하는 시험용 공격 코드가 빠르게 확산하면서 긴급 대응 필요성이 커졌다.
PHP 8.1 이하 구버전은 공식 업데이트가 제공되지 않으므로, 지원되는 상위 버전으로 전환해야 한다.
염흥열 순천향대 정보보호학과 명예교수는 “해외와 동일한 취약점이 존재하므로, 패치를 하지 않은 다면 공격자가 이를 악용해서 웹사이트나 서버에 로그인하지 않고도 서버에서 공격자의 코드를 실행할 수 있다”고 우려했다.
김혁준 나루씨큐리티 대표도 “국내에서도 신속하게 대응해야 한다”며 “PHP2Shell은 특정 국가나 웹사이트에만 해당하는 문제가 아니라, 웹 요청을 처리하는 PHP 자체의 취약점”이라고 강조했다.
◇정부 사이버 경보 ‘주의’로 격상… 기업 보안 대응 수칙 배포
기업 PHP 취약점 보안 대응 수칙 (사진=과학기술정보통신부)
과학기술정보통신부와 한국인터넷진흥원은 이날을 기해 사이버 위기경보를 ‘주의’ 단계로 격상하고, PHP를 이용한 홈페이지를 운영하는 국내 기업·기관에 보안 업데이트를 즉시 적용할 것을 당부했다.
배경훈 과기정통부 부총리는 “이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고, 공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다”고 말했다. 이해민 대통령비서실 AI미래기획 수석은 페이스북을 통해 “PHP 보안 취약점으로 인한 피해우려가 확산되고 있다”면서 “이 상황을 매우 심각하게 보고 있다. 관련 기관 대응책을 가동중이라는 것을 우선 알린다”고 말했다.
◇보안 취약한 소상공인·중소기업 웹사이트 보안 우려
문제는 보안 인력과 관리 체계가 부족한 중소기업이나 소상공인이다. 대기업과 주요 호스팅 업체들은 보안 취약점이 공개되면 신속하게 대응할 수 있지만, 자체 보안 담당자가 없는 기업은 취약점 노출 여부조차 파악하기 어려울 수 있다.
김혁준 나루씨큐리티 대표는 “국내 대응 수준이 높다고도, 낮다고도 단정하기 어렵다”면서도 “취약점 공지는 받았지만, PHP가 설치된 위치나 업데이트 담당자가 누구인지 모르는 경우가 우려된다”고 제언했다.
정부는 호스팅 업체를 이용해 홈페이지를 운영하는 소상공인 등은 이용 중인 호스팅 업체에 보안 업데이트 적용 여부를 확인할 것을 안내했다. 일반 국민은 직접 조치할 사항은 없으나, 평소와 같이 백신 설치, 최신 보안 업데이트 등 기본적인 보안 수칙을 지킬 것을 조언했다.
보안 담당자가 부족하거나 유지보수 계약이 종료된 웹사이트도 우려 대상으로 꼽힌다. 오래된 프로그램과의 호환성 문제로 PHP 버전 업그레이드를 미뤄온 환경 역시 우선적인 점검이 필요하다.
◇챗GPT 통해서 취약점 발견…AI 방어 도구로도
전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP의 개발진이 21일(현지시간) 공식 홈페이지를 통해 치명적인 보안 취약점 2건을 공개하고 긴급 업데이트를 권고했다. (사진=PHP 공식 홈페이지 갈무리)
AI가 사이버 공격에 악용될 수 있는 동시에 보안 취약점을 선제적으로 찾아내는 방어 수단으로도 활용될 수 있음을 보여주는 사례다. 오픈 AI 측은 공식 논평을 통해 “프런티어 AI가 공격자보다 먼저 이 취약점들을 발견했다”면서 “덕분에 유지관리자와 보안 업체는 공개 전에 수정 사항과 보호 조치를 준비할 수 있는 방어자의 기회를 얻었다”고 밝혔다.
