PHP 보안 취약점이 잇따라 발견되면서 정부가 긴급 대응을 당부하고 있지만 소규모 온라인 쇼핑몰들은 취약점이 있다는 사실을 알아도 자체적으로 대응하기 어렵다고 호소하고 있다. 별도의 보안 인력이 없어 자사 홈페이지가 실제로 영향을 받는지 판단하기 어렵고, 호스팅업체의 안내와 조치에 의존할 수밖에 없다는 것이다.

특히 기존 보안 업데이트로 해결되지 않는 새로운 취약점까지 발견되면서 서버 설정을 추가로 점검해야 하는 상황이다. 그러나 일부 영세업체는 앞서 발견된 취약점 소식조차 접하지 못한 것으로 나타났다.

26일 과학기술정보통신부에 따르면 정부는 지난 22일 PHP 보안 취약점과 관련해 민간 분야 사이버위기경보를 '관심'에서 '주의'로 상향하고 기업과 기관에 긴급 보안 업데이트를 당부했다.

PHP는 홈페이지와 온라인 쇼핑몰 등 웹서비스를 만드는 데 사용하는 프로그래밍 언어다. 지난 21일 공개된 취약점 2건을 악용하면 공격자가 별도의 로그인이나 인증 절차 없이 서버에서 임의의 명령을 실행할 수 있다. 공격에 성공하면 고객정보 유출이나 홈페이지 변조 등으로 이어질 수 있다.

이후 기존 보안 업데이트로 해결되지 않는 새로운 취약점도 확인됐다. 한국인터넷진흥원(KISA)은 지난 24일 PHP의 세션 처리 과정에서 원격으로 코드를 실행할 수 있는 취약점(CVE-2026-115560)이 추가 발견됐다며 긴급 임시 조치를 권고했다.

이번 취약점은 특정 설정이 적용된 서버에서 발생할 수 있다. KISA는 영향을 받는 서버에서 파일 업로드 진행 상황 추적 기능을 비활성화하고 PHP 작업 프로세스를 재시작하도록 안내했다. 앞선 취약점에 대응하면서 이미 같은 설정을 적용했다면 추가 조치는 필요하지 않다.


알아도 영향 판단은 막막…호스팅업체 안내·조치에 의존

소규모 온라인 쇼핑몰 운영자들은 취약점이 발견돼도 직접 대응하기 어렵다고 호소했다. 별도 보안 인력이 없는 데다 서버 운영을 외부 업체에 맡기는 경우가 많아 자사 서비스가 실제로 영향을 받는지조차 판단하기 어렵다는 것이다.

호스팅 서비스를 이용하는 한 소규모 온라인 쇼핑몰 운영자는 "작은 쇼핑몰은 자체 보안 인력이 전무하다고 할 수 있다"며 "호스팅 업체에서 적절히 대응하기를 기대하는 것 말고는 방법이 없다"고 말했다.

그는 호스팅업체의 대응을 지켜보고 있다면서도 해킹 피해가 발생했을 때 법적 책임까지 떠안게 될 가능성을 우려했다.

이 운영자는 "해킹이 발생하는 것이 가장 걱정이지만 이후 법적 책임을 져야 하는 부분도 우려스럽다"고 했다.

지역 특산물을 판매하는 쇼핑몰 관계자도 "보안 전문인력이 있는 것이 아니기 때문에 직접 영향 여부를 판단하기 어렵다"며 "이용 중인 서비스 업체의 안내와 조치 여부를 확인하는 것 정도가 전부"라고 설명했다.

사고가 발생했을 때 이를 파악하고 수습할 여력이 부족하다는 점도 걱정거리다. 개인정보 유출이나 쇼핑몰 운영 중단뿐 아니라 피해 복구 과정에서도 어려움을 겪을 수 있다는 것이다.

이 관계자는 "보안 사고가 발생했을 때 이를 즉시 인지하거나 피해 범위를 파악하기 어렵다"며 "복구 과정에서도 전문인력과 비용이 부족하다는 점이 가장 큰 부담"이라고 말했다.

보안 조치 과정에서 발생할 수 있는 서비스 장애도 소규모 업체에는 부담이다. 취약점을 해결하기 위해 업데이트가 필요하더라도 기존 시스템에 미칠 영향을 검토할 전문인력이 부족해 신속하게 대응하기 어렵기 때문이다.

생활가전과 화장품 등을 취급하는 쇼핑몰 관계자는 "매출 규모가 작은 온라인 쇼핑몰이나 브랜드의 경우 전문 보안 인력과 기술적 역량이 부족해 취약점의 영향 범위를 파악하거나 조치에 따른 서비스 영향을 검토하는 데 어려움이 있다"고 설명했다.

이어 "기업의 매출 규모가 작다고 해서 보유하고 있는 고객정보의 중요성이나 보안 위험이 낮아지는 것은 아니다"라며 "소규모 쇼핑몰은 사고 대응 역량이 부족한 상황에서 매출 규모나 재정 여력에 비해 훨씬 큰 피해를 감당해야 할 수 있다"고 우려했다.


취약점 소식 못 접한 사업자도…긴급 안내·기술지원 요구
영세업체 중에서는 취약점의 영향 여부를 확인하기에 앞서 관련 소식 자체를 접하지 못한 사업자들도 있었다. 정부가 경보를 발령한 지 수일이 지났지만 일부 업체는 이번 PHP 취약점 사태를 알지 못했다.

이들은 취약점 발견 소식을 처음 듣는다는 반응을 보였으며, 어떤 조치를 해야 하는지 되묻거나 해킹 피해가 발생하지 않을지 걱정했다.

현재 KISA는 기업들이 운영 중인 홈페이지와 시스템의 PHP 사용 여부 및 버전을 확인하고 보안 업데이트를 적용하도록 권고하고 있다. 업데이트 이후에는 서버 접속 기록 등을 점검해 침해 흔적이 있는지도 확인해야 한다. 호스팅업체가 PHP를 관리하는 경우에는 해당 업체에 보안 조치 적용 여부를 확인하고 필요한 조치를 요청하도록 안내했다.

그러나 영세업체들은 호스팅업체의 안내를 받더라도 실제 조치가 충분한지, 추가로 점검할 사항은 없는지 판단하기 어렵다고 호소했다.

한 소규모 쇼핑몰 운영자는 "정부에서 직접 안내가 온다거나 공지해 주는 상황이 아니므로 이슈가 되거나 호스팅 업체의 공지가 있을 때까지는 파악하는 것조차 쉽지 않다"고 말했다.

이어 "통신판매업으로 등록된 판매자들에게 빠른 긴급 공지 등의 시스템 구축도 필요하다"며 "긴급 보안 점검이나 기술지원도 직접적인 도움이 될 것"이라고 강조했다.

지역 특산물 쇼핑몰 관계자는 "보안 취약점이 발견되더라도 해당 문제가 자사 쇼핑몰에 영향을 미치는지, 어떤 조치를 해야 하는지 판단하기 어렵다"며 "호스팅 업체와 연계해 보안 업데이트가 신속하게 이뤄질 수 있도록 지원한다면 실질적인 도움이 될 것"이라고 말했다.

minju@news1.kr