전 세계 웹사이트에 광범위하게 사용되는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견되면서 각국 정부기관과 기업들이 온라인 서비스를 잇달아 중단하는 등 파장이 확산하고 있다.

일부 국가에서는 정부 홈페이지와 행정서비스를 예방적으로 차단했고, 일본에서는 오래된 시스템을 사용하는 온라인 게임이 아예 서비스를 종료하는 사례까지 나왔다. 한국 정부도 사이버위기 경보를 격상하고 긴급 대응에 나섰다.

23일 로이터에 따르면 네덜란드와 독일, 프랑스, 핀란드, 벨기에 등에서는 PHP 취약점을 악용한 해킹 공격을 우려해 정부·공공기관 홈페이지와 온라인 행정서비스를 일시 중단했다. 실제 피해가 발생하기 전 선제적 조치다.

네덜란드는 정부 포털 '오버헤이트'(Overheid)와 디지털 행정서비스 등을 중단했다. 독일 연방정부 IT 서비스 제공기관도 여러 정부 홈페이지를 폐쇄했고, 핀란드는 정부 대국민 웹서비스를 예방적으로 중단했다.

일본에서는 재무성·기상청·국세청 등 일부 정부 온라인 서비스를 중단하거나 접속을 제한했다. 도쿄도 역시 지난 22일 보안 패치 적용을 위해 일부 서비스를 예방적으로 중단했다고 밝혔다.

PHP 사용 비율이 높은 일본 게임업계에서는 서비스 자체를 종료하는 사례까지 발생했다.

일본 여행 시뮬레이션 게임 '월드 퀘스트'는 지난 21일 서비스를 즉시 종료했다. 운영사는 오래된 시스템으로 인해 PHP 취약점에 충분히 대응하기 어려워 이용자 정보 보호를 위해 종료를 결정했다고 설명했다.

지난 2011년부터 서비스된 방치형 RPG '내 마계를 구해줘!'도 22일 서비스 종료를 발표했다. 기존 하드웨어와 운영체제로는 안전한 대응이 어렵고 새로운 환경으로 이전하는 것도 현실적으로 불가능하다는 이유다.

사이게임즈는 '우마무스메 프리티 더비' 등 주요 게임에 긴급 점검을 실시했다. 다만 취약점 악용 피해나 이용자 정보 유출은 확인되지 않았다고 밝혔다.

한국은 서비스 종료나 홈페이지 중단과는 다른 방식의 대응을 진행 중이다.

한국 정부는 지난 22일 낮 12시부터 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 격상했다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 주요 기업과 기관에 보안 업데이트와 침해 흔적 점검을 요청하고, 취약 시스템의 차단과 웹방화벽 규칙 적용도 강조했다.

이번 취약점은 별도 인증 없이 서버에서 명령을 실행하거나 메모리 속 비밀번호·인증키 등을 탈취할 수 있다. 특히 지원이 종료된 PHP 8.1 이하 버전은 보안 패치가 제공되지 않아 상위 버전으로 전환해야 한다.

이기혁 중앙대 보안대학원 교수는 "패치 전 대외 서비스 중단은 합리적인 판단이며, 패치 후에도 인증키·세션 교체와 웹셸 점검이 필요하다"고 말했다.

이어 "국내는 유지보수가 끝난 외주 사이트나 지자체·학교 홈페이지에 지원 종료된 구버전 PHP가 방치된 경우가 많아 특히 우려된다"며 "패치 대응 주기를 일 단위로 단축해야 한다"고 강조했다.

Kris@news1.kr