IT업계 PHP 취약점에 발칵…"중소기업·소상공인 우려" 작성일 10-22 28 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">AI가 발견한 취약점, 로그인 없이 서버 공격 가능<br>정부 사이버 위기 경보 '주의'로 격상<br>호스팅 업계 긴급 보안 패치 즉각 대응 나서<br>"외주업체 의존·보안 인력 부족한 중소기업 우려"</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="Xt3IS2Ikww"> <p contents-hash="23c637edd743904b54021560cd5020da2dbacb300fe73914659513d1799e58d7" dmcf-pid="ZF0CvVCEwD" dmcf-ptype="general"> [이데일리 안유리 기자] 전 세계 웹사이트에 영향을 미칠 수 있는 PHP 보안 취약점이 발견되면서 국내에서도 긴급 대응에 나섰다. 정부가 사이버 위기경보를 ‘주의’로 격상하고 국내 호스팅 업체들은 긴급 보안 패치를 진행하는 등 대응에 분주한 모습이다. 전문가들은 보안 인력이 부족하거나 외주업체에 홈페이지 관리를 맡기는 중소기업 등이 보안 사각지대에 놓일 수 있다고 우려했다.</p> <figure class="figure_frm origin_fig" contents-hash="26915862b67c7a8749a3c53a4d589016ef72e226aa898b39996f96cfb2479863" dmcf-pid="53phTfhDOE" dmcf-ptype="figure"> <p class="link_figure"><img alt="글로벌 사이버 보안 업체 칼리프(Calif)가 오픈AI의 취약점 대응 프로그램 '패치 더 플래닛'(Patch the Planet)에 참여해 PHP 취약점을 발견했다. (사진=패치 더 플래닛 홈페이지 갈무리)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/22/Edaily/20261022164230601ntre.jpg" data-org-width="1280" dmcf-mid="YXmB2DB3Ds" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/22/Edaily/20261022164230601ntre.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 글로벌 사이버 보안 업체 칼리프(Calif)가 오픈AI의 취약점 대응 프로그램 '패치 더 플래닛'(Patch the Planet)에 참여해 PHP 취약점을 발견했다. (사진=패치 더 플래닛 홈페이지 갈무리) </figcaption> </figure> <div contents-hash="89c354fac7670a4f3792b9f15a788e4733608d8a71b8a516e21255cdd016622b" dmcf-pid="10Uly4lwmk" dmcf-ptype="general"> 22일 보안업계에 따르면 최근 발견된 ‘PHP2Shell’은 웹사이트 개발에 널리 사용되는 프로그래밍 언어 PHP에서 발생한 치명적인 보안 취약점이다. PHP는 홈페이지, 온라인 쇼핑몰, 게시판, 관리자 페이지 등 다양한 웹 서비스를 만드는 데 사용되는 프로그래밍 언어이다. 웹 기술 통계업체 W3Techs에 따르면 서버 측 프로그래밍 언어를 식별할 수 있는 전 세계 웹사이트의 약 69.3%가 PHP를 사용하고 있다. </div> <p contents-hash="e31f03256dca7ede6ed3eca51905d53b3bd848354d1209e90fd736cc8924cc4b" dmcf-pid="tpuSW8Srsc" dmcf-ptype="general">이번에 발견된 취약점은 웹 애플리케이션의 구현 코드와 관계없이 PHP 엔진 자체의 결함으로 발생한다는 점에서 위험성이 크다. 개별 홈페이지의 프로그램이 아닌 PHP 자체의 보안 취약점으로 홈페이지 프로그램을 안전하게 만들었음에도 영향을 받을 수 있다. </p> <p contents-hash="41175d17fef866b080be476ed352a6fc17525f04441b69558d94b3836f5f6af3" dmcf-pid="FU7vY6vmIA" dmcf-ptype="general">웹사이트를 가게에 비유하면 PHP는 손님의 주문을 받아 창고에서 물건을 꺼내고 장부를 확인하는 점원이다. 이번 취약점은 해커가 조작된 주문서를 보내 점원에게 허가되지 않은 일을 시킬 수 있다. </p> <p contents-hash="e42a7d6ead70a776f9df201f507d97585ec85cde64771aa197ffa86171897b2a" dmcf-pid="3uzTGPTsOj" dmcf-ptype="general">특히 공식 보안 패치가 배포되기도 전에 해킹 가능성을 보여주는 시연 영상과 패치가 적용된 소프트웨어가 외부에 공개됐다. 이를 토대로 취약점 악용 가능성을 입증하는 시험용 공격 코드가 빠르게 확산하면서 긴급 대응 필요성이 커졌다.</p> <p contents-hash="6fe08b7a3cf13a9b7aa679c8175d4fc27d2bb99c7d38fc2adcd388350a4e64af" dmcf-pid="07qyHQyOEN" dmcf-ptype="general">PHP 8.1 이하 구버전은 공식 업데이트가 제공되지 않으므로, 지원되는 상위 버전으로 전환해야 한다. </p> <p contents-hash="f78586cac5b232e14d69600532e52b6aaaaf6970ce4ccb02f876ce5df0d5d687" dmcf-pid="pYHEm7Eora" dmcf-ptype="general">염흥열 순천향대 정보보호학과 명예교수는 “해외와 동일한 취약점이 존재하므로, 패치를 하지 않은 다면 공격자가 이를 악용해서 웹사이트나 서버에 로그인하지 않고도 서버에서 공격자의 코드를 실행할 수 있다”고 우려했다. </p> <p contents-hash="ee44ab562b5a7d3bcb44d1a3e14c4fa79a076c44ccc68df6a6e7c2f4bfbecf18" dmcf-pid="UGXDszDgIg" dmcf-ptype="general">김혁준 나루씨큐리티 대표도 “국내에서도 신속하게 대응해야 한다”며 “PHP2Shell은 특정 국가나 웹사이트에만 해당하는 문제가 아니라, 웹 요청을 처리하는 PHP 자체의 취약점”이라고 강조했다.</p> <p contents-hash="5cd0039c9fdda062178163af1800f34685c72ff99f411476a7ea97440ac8a230" dmcf-pid="uHZwOqwaOo" dmcf-ptype="general"><strong>정부 사이버 경보 ‘주의’로 격상… 기업 보안 대응 수칙 배포</strong></p> <figure class="figure_frm origin_fig" contents-hash="f880645d497023f16c5b28682d2600604c3e77bc10266b1a08e05c0e103f8ced" dmcf-pid="7X5rIBrNmL" dmcf-ptype="figure"> <p class="link_figure"><img alt="기업 PHP 취약점 보안 대응 수칙 (사진=과학기술정보통신부)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/22/Edaily/20261022164231858zdfn.jpg" data-org-width="952" dmcf-mid="GshLN5Lxrm" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/22/Edaily/20261022164231858zdfn.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 기업 PHP 취약점 보안 대응 수칙 (사진=과학기술정보통신부) </figcaption> </figure> <div contents-hash="ab3935d01c694f8b4f7da03de3e14622050803e49fd9867aab2c620f28b5aab6" dmcf-pid="zZ1mCbmjEn" dmcf-ptype="general"> 정부와 국내 정보통신기술(ICT) 업계도 즉각 대응에 나섰다. 가비아 및 카페24 등 국내 주요 호스팅 업체들도 PHP 취약점에 대응하기 위한 긴급 보안 패치를 진행했다고 공지했다. </div> <p contents-hash="61a9922874d4ba4fc05a4fea5b69b89800168a6fdd26260849c42bfd4f75e8bc" dmcf-pid="q5tshKsAwi" dmcf-ptype="general">과학기술정보통신부와 한국인터넷진흥원은 이날을 기해 사이버 위기경보를 ‘주의’ 단계로 격상하고, PHP를 이용한 홈페이지를 운영하는 국내 기업·기관에 보안 업데이트를 즉시 적용할 것을 당부했다. </p> <p contents-hash="ab79ce62561d9f05bc8b43c4f50602207cd664200f9a840bacc7790cd32bae65" dmcf-pid="B1FOl9OcIJ" dmcf-ptype="general">배경훈 과기정통부 부총리는 “이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고, 공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다”고 말했다. 이해민 대통령비서실 AI미래기획 수석은 페이스북을 통해 “PHP 보안 취약점으로 인한 피해우려가 확산되고 있다”면서 “이 상황을 매우 심각하게 보고 있다. 관련 기관 대응책을 가동중이라는 것을 우선 알린다”고 말했다.</p> <p contents-hash="38058c1b24e086bc177cc2c996a2c1daf95088ad1212402cfb699cd375c87f1e" dmcf-pid="bt3IS2Ikwd" dmcf-ptype="general"><strong>보안 취약한 소상공인·중소기업 웹사이트 보안 우려</strong></p> <p contents-hash="87d76cbd967e054e8d05f63ec4819ee8245b0022fb7f970f5d33918371ac9a0c" dmcf-pid="KF0CvVCEse" dmcf-ptype="general">문제는 보안 인력과 관리 체계가 부족한 중소기업이나 소상공인이다. 대기업과 주요 호스팅 업체들은 보안 취약점이 공개되면 신속하게 대응할 수 있지만, 자체 보안 담당자가 없는 기업은 취약점 노출 여부조차 파악하기 어려울 수 있다.</p> <p contents-hash="a2d375228f69172408463faee0d3de257fed67c9922a27de74065eb564c7f1a0" dmcf-pid="93phTfhDER" dmcf-ptype="general">김혁준 나루씨큐리티 대표는 “국내 대응 수준이 높다고도, 낮다고도 단정하기 어렵다”면서도 “취약점 공지는 받았지만, PHP가 설치된 위치나 업데이트 담당자가 누구인지 모르는 경우가 우려된다”고 제언했다. </p> <p contents-hash="6097b17adbf0d5cc2e3db2355b1a1d00f49eaef4a2102ca9a5805425dde88ce8" dmcf-pid="20Uly4lwEM" dmcf-ptype="general">정부는 호스팅 업체를 이용해 홈페이지를 운영하는 소상공인 등은 이용 중인 호스팅 업체에 보안 업데이트 적용 여부를 확인할 것을 안내했다. 일반 국민은 직접 조치할 사항은 없으나, 평소와 같이 백신 설치, 최신 보안 업데이트 등 기본적인 보안 수칙을 지킬 것을 조언했다. </p> <p contents-hash="db0e7318430e3985836b77c489956dbeb933a27fca16c3056fb6ed9618851f59" dmcf-pid="VxRuBAu5Ox" dmcf-ptype="general">보안 담당자가 부족하거나 유지보수 계약이 종료된 웹사이트도 우려 대상으로 꼽힌다. 오래된 프로그램과의 호환성 문제로 PHP 버전 업그레이드를 미뤄온 환경 역시 우선적인 점검이 필요하다.</p> <p contents-hash="ca6301b4661e2bb581b5898663dd06c2935814de3ee9f51d213bdc49d4985047" dmcf-pid="fMe7bc71mQ" dmcf-ptype="general"><strong>챗GPT 통해서 취약점 발견…AI 방어 도구로도</strong></p> <figure class="figure_frm origin_fig" contents-hash="af0337205b26166561723f7725be22e4dbdacc519599ccad452bdbc4c119f48b" dmcf-pid="4RdzKkztOP" dmcf-ptype="figure"> <p class="link_figure"><img alt="전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP의 개발진이 21일(현지시간) 공식 홈페이지를 통해 치명적인 보안 취약점 2건을 공개하고 긴급 업데이트를 권고했다. (사진=PHP 공식 홈페이지 갈무리)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/22/Edaily/20261022164233080oaay.jpg" data-org-width="1280" dmcf-mid="HuqyHQyOOr" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/22/Edaily/20261022164233080oaay.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP의 개발진이 21일(현지시간) 공식 홈페이지를 통해 치명적인 보안 취약점 2건을 공개하고 긴급 업데이트를 권고했다. (사진=PHP 공식 홈페이지 갈무리) </figcaption> </figure> <div contents-hash="26c349fb7879193699aa2b2f7a3b9c99329a95719c0aee5aba45cd1c3f23a1b4" dmcf-pid="8eJq9EqFs6" dmcf-ptype="general"> 이번에 발견된 취약점은 10년동안 발견되지 않았던 취약점을 AI가 발견했다는 점에서도 주목할만하다. 글로벌 사이버 보안 업체 칼리프(Calif)가 오픈AI의 취약점 대응 프로그램 ‘패치 더 플래닛’(Patch the Planet)에 참여해 발견했다. 사용한 AI는 GPT 5.6 Sol이다. 구글 계열 보안업체 위즈(Wiz)도 별도 연구를 통해 취약점 2건을 발견하고 보고했다. </div> <p contents-hash="c2a5db6ee9c23609abaca00c560faa24c49495dc69dfb6473fcba24fc6d4098f" dmcf-pid="6diB2DB3E8" dmcf-ptype="general">AI가 사이버 공격에 악용될 수 있는 동시에 보안 취약점을 선제적으로 찾아내는 방어 수단으로도 활용될 수 있음을 보여주는 사례다. 오픈 AI 측은 공식 논평을 통해 “프런티어 AI가 공격자보다 먼저 이 취약점들을 발견했다”면서 “덕분에 유지관리자와 보안 업체는 공개 전에 수정 사항과 보호 조치를 준비할 수 있는 방어자의 기회를 얻었다”고 밝혔다.</p> <p contents-hash="fb1ed8d24e1889e87d46f136540b48fc774a6ff4c9ee3f90d0c3438c960dc435" dmcf-pid="PJnbVwb0m4" dmcf-ptype="general">안유리 (inglass@edaily.co.kr) </p> </section> </div> <p class="" data-translation="true">Copyright © 이데일리. 무단전재 및 재배포 금지.</p> 관련자료 이전 "합병한다더니 3년째"…티빙·웨이브 통합 막는 '주주 셈법' 10-22 다음 통신사, 원룸 단체계약에 리베이트 20만원···입주자는 통신비 '이중부담' 10-22 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
