웹사이트 70%가 쓰는 PHP
10년간 몰랐던 보안 결함 발견
정부, 사이버위기 경보 ‘주의’
유럽서도 웹사이트 선제 차단

전 세계 웹사이트의 약 70%에 쓰이는 프로그래밍 언어 ‘PHP’에서 해커가 서버를 통째로 장악할 수 있는 치명적 보안 결함이 발견돼 각국 정부와 기업에 비상이 걸렸다. 인공지능(AI)의 도움으로 찾아낸 결함이어서, AI가 소프트웨어 결함을 대량으로 찾아내 대응이 어려워지는 ‘버그마겟돈’(컴퓨터 오류 ‘버그’와 최후의 전쟁 ‘아마겟돈’의 합성어)이 현실화하고 있다는 우려가 나온다.

미국 월스트리트저널(WSJ)에 따르면 PHP 재단은 21일(현지시간) ‘PHP2셸’(셸은 서버에 명령을 내리는 창구)로 불리는 취약점 2건을 공개하고 긴급 보안 패치(수정 프로그램)를 배포했다.

PHP는 흔히 ‘웹의 중추’라고 불리며, 이용자가 웹사이트에서 요청한 작업을 서버에서 처리하고 그 결과를 웹브라우저로 보내주는 역할을 한다. 전 세계 모든 웹사이트의 약 70%를 구동한다. AI를 활용해 찾은 이번 결함은 10년 넘게 확인되지 않았던 심각한 보안 결함으로 평가된다. 패치를 설치하지 않은 서버에선 해커가 임의로 프로그램을 실행해 정보를 빼내거나 사이트를 변조할 위험이 있다.

대응 과정에서 PHP 재단의 공식 패치 배포 전 결함 정보가 먼저 노출되는 논란도 있었다. 해커들이 패치에서 바뀐 부분을 역추적하면 공격법을 찾을 수 있어서다. PHP 재단은 패치를 먼저 내놓은 배포업체 ‘체인가드’가 “일방적으로 엠바고(공개 유예 약속)를 깼다”고 비판했다. 재단은 실제 이 사태로 인한 피해사례가 있는지는 언급하지 않았다.

프랑스 정부 홈페이지가 멈춘 모습. 로이터연합뉴스

각국은 비상이 걸렸다. 프랑스 보안업체 사이벨앤젤이 인용한 집계에 따르면 인터넷에 노출된 PHP 서버 약 224만대 가운데 버전이 확인된 서버의 59%인 88만3717대가 정식 패치가 나오지 않는 구버전을 쓰고 있다. 이에 청와대 국가안보실은 22일 PHP 보안 취약점에 대한 민·관·군 공동 대응체계를 점검하기 위해 송기호 안보실 3차장 주재로 ‘민·관·군 사이버안보 긴급대책 회의’를 개최하고 향후 위협 정보와 대응 현황을 실시간으로 공유하며 긴밀히 공조해 나가기로 했다. 정부는 공격코드까지 공개돼 대규모 해킹 피해가 발생할 수 있다고 보고 이날 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 상향했다.

미국 국가안보국(NSA)은 업데이트가 어려우면 시스템을 오프라인으로 돌리라고 권고했고, 네덜란드·프랑스·독일·체코·벨기에 등은 일부 정부 웹사이트를 선제 차단했다.

조병욱·이강진 기자