[PHP 비상] '자바 강국' 한국은 안전?…"변두리 시스템·중소기업은 아니다" 작성일 10-23 48 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="PH2Qy1oMvU"> <figure class="figure_frm origin_fig" contents-hash="eef92cb21699d750b74906f9ea6b17248b35e2cb85d8194eb723d8f41be7e27d" dmcf-pid="QXVxWtgRhp" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/23/552796-pzfp7fF/20261023060022941ygqm.jpg" data-org-width="640" dmcf-mid="8cH3NrKpC7" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/23/552796-pzfp7fF/20261023060022941ygqm.jpg" width="658"></p> </figure> <p contents-hash="9a86eba3d47c831f9a4f54cc62fba56cd4125e94cdf0cf36f510924bc6c33611" dmcf-pid="xZfMYFaeC0" dmcf-ptype="general">[디지털데일리 김보민기자] 전 세계 웹사이트 70% 이상에서 쓰이는 프로그래밍 언어 'PHP'의 보안 취약점이 공개되며 파장이 일고 있다. 이를 악용한 해킹 공격이 발생할 경우 원격코드실행(RCE)부터 서비스거부(DoS), 고객정보 유출까지 피해가 일어날 수 있어 전 세계가 사태를 예의주시하는 분위기다.</p> <p contents-hash="647391cc03d23cbcd777e988fb78e1f02bd0ad100da28382506f1d63ad7db2a1" dmcf-pid="yiCWRg3GT3" dmcf-ptype="general">국내에서는 엔터프라이즈 영역에서 자바(JAVA)와 같은 개발언어 선호도가 높아 영향이 크지 않을 것이라는 의견도 제기되지만, 비핵심 시스템에 PHP를 활용하는 사례가 많아 즉각 대응이 필요할 전망이다. PHP 개발 인력이나 보안 전문가가 부족한 중소기업을 대상으로 지원책이 필요하다는 목소리도 나온다.</p> <p contents-hash="d766f4af5cd5bda8848b4d0ec1f44c045ec04b7574e95a665215413a46283533" dmcf-pid="WnhYea0HlF" dmcf-ptype="general"><strong>◆ 낡고 오래된 언어 'PHP'…협력사·중소기업 사용↑</strong></p> <p contents-hash="804b64b19ecf245712821c6996be1ce3b2222b06d74bf32560604b19c8e0cb77" dmcf-pid="YLlGdNpXlt" dmcf-ptype="general">22일 과학기술정보통신부와 한국인터넷진흥원(KISA)은 PHP에서 심각한 보안 취약점 2건이 공개됐다며 긴급 보안 업데이트와 기술적 조치가 필요하다고 발표했다. KISA는 이날 오후 사이버 위협정보 분석·공유시스템(C-TAS) 가입 계정을 대상으로 'PHP 보안 취약점(PHP2Shell) 관련 기업 보안 대응 수칙'을 배포하며 세부 조치 방안을 안내했다.</p> <p contents-hash="8dea5e7cf59ce9691b7c81b0fb08226d01c4764d8808945d7ae5029679d521a5" dmcf-pid="GoSHJjUZS1" dmcf-ptype="general">국내 정보보호최고책임자(CISO) 등 보안 담당자들은 자체 운영하는 홈페이지 및 시스템을 점검하고 있다. 이러한 분위기 속 일부는 "업계에서는 일명 '낡은 개발 언어'로 통하는 만큼 내부에는 많지 않지만, 협력사가 제공하는 업무 기능 중 일부는 PHP 기반으로 구축된 부분이 있었다"고 입을 모았다. '변두리'로 꼽히는 비핵심 시스템만 PHP를 기반으로 구축된 사례도 있는 것으로 알려졌다.</p> <p contents-hash="e2493750c732540a5c5ff2b24f769608bbfed209ff59521708b0832eb484bc38" dmcf-pid="HyB4lHJ6C5" dmcf-ptype="general">이는 PHP를 제외한 다른 프로그래밍 언어에 대한 활용도가 높은 국내 환경을 반영한 결과로 풀이된다. PHP는 웹개발에 최적화된 유연성과 빠른 구축 속도를 바탕으로 광범위하게 활용할 수 있다는 특징이 있다. 다만 성능 측면에서 한계가 있어, 대기업을 비롯한 엔터프라이즈 영역에서는 JAVA와 같은 개발 언어에 대한 선호도가 높아졌다. JAVA는 엔터프라이즈급 안정성과 대규모 시스템 구축 측면에서 활용도가 높고, 기술 지원 또한 고도화된 상태다.</p> <p contents-hash="ad2c48618e59e1f1e99b5559293711c8d11ebef2ea05edca4e3d34a96026d1ef" dmcf-pid="XWb8SXiPlZ" dmcf-ptype="general">다만 보안업계에서는 이러한 환경이 '한국이 안전하다'는 의미로 직결될 수 없다고 이야기한다. 국내에서 웹사이트나 서비스에 대한 접속을 일시 중단한 사례가 아직 나오지 않았다고 해서 이번 사태로부터 완전히 자유로울 수 없다는 의미다. 미국은 PHP 취약점과 관련해 즉시 업데이트할 수 없는 시스템을 오프라인으로 전환하라고 권고했고, 일본은 정부 부처 웹페이지와 은행 서비스 접속을 부분적으로 중단하는 등 조치에 나섰다.</p> <p contents-hash="0bd1876365615cbf10349e4a8e90b66915baeac17e44f2edc6369c4dd93c9611" dmcf-pid="ZYK6vZnQWX" dmcf-ptype="general">프랑스 보안기업 시벨앙젤이 21일(현지시간) 공개한 분석에 따르면, 전 세계에서 PHP를 노출한 서버는 약 224만대다. 국가별 분석 결과 한국에서 업데이트 지원이 종료된 PHP 8.1 이하 버전을 쓰는 인터넷 연결 서버는 2만4500여대다. 버전이 확인된 국내 PHP 서버의 82%에 해당하는 수준이다. 이 가운데 대응 인력이 부족한 중소기업의 서버 또한 포함됐을 가능성이 점쳐진다.</p> <div contents-hash="8de306955b70c433b5345a4b34e86af2f5c27a72c3579d421564856ef919dfae" dmcf-pid="5G9PT5LxCH" dmcf-ptype="general"> 박찬암 스틸리언 대표는 "특히 중소기업이 (PHP를) 쓰는 비율이 높은 만큼, 국가 전체의 안보 관점에서 바라봐야 한다"고 강조했다. 이어 "협력사의 경우 대기업과 정책이 다른 각각의 일반 회사이고, PHP 자체가 전 세계적으로 많이 쓰인다는 점을 고려했을 때 안전하지 않은 상황"이라며 "빠르게 패치하고 대응할 때"라고 말했다. </div> <figure class="figure_frm origin_fig" contents-hash="d18290254e897ccce8e1670c50d35797a4f47d4f5419e75d7b3ed92996a24419" dmcf-pid="1H2Qy1oMTG" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/23/552796-pzfp7fF/20261023060023222gsgr.jpg" data-org-width="640" dmcf-mid="6zGFawb0hu" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/23/552796-pzfp7fF/20261023060023222gsgr.jpg" width="658"></p> </figure> <p contents-hash="8d54f94e93d4813198c5ca6e5d3dc29f2261f418de5fe94ccf56e53db9b4b44c" dmcf-pid="tXVxWtgRTY" dmcf-ptype="general"><strong>◆ "최신 버전도 안심 못해…버전 숫자보다 패치 여부 확인해야"</strong></p> <p contents-hash="64f9da457c207cb07f0cd9d72330804f24d56906c6c0b8790b4f22cddebe28d5" dmcf-pid="FZfMYFaelW" dmcf-ptype="general">보안 전문가들은 이번 취약점이 오래된 PHP에만 해당하지 않고, PHP 8.2부터 8.5까지 지원되는 버전도 영향을 받을 수 있다고 입을 모은다. 오래된 버전은 공식 지원이 끝나 업그레이드가 어려울 수 있고, 운영체제(OS) 공급업체가 별도 보안 패치를 적용한 패키지를 제공하는 경우도 있어 단순히 버전 숫자만으로 안전 여부를 판단할 수 없다고 경고한다.</p> <p contents-hash="8e4523cffd4392a82c9722de5709a2786a331071a97afa9d91ae6d985b3b2077" dmcf-pid="354RG3Ndvy" dmcf-ptype="general">김혁준 나루씨큐리티 대표는 "국내에서 우선 점검해야 할 곳은 유지보수 계약이 끝난 웹사이트, 외주로 제작된 후 관리자가 불분명해진 서비스, 여러 사이트가 서버를 함께 사용하는 웹호스팅 환경"이라며 "기관 대표 홈페이지뿐 아니라 별도 사업 사이트, 게시판, 쇼핑몰, 관리 도구에 포함된 PHP도 확인해야 한다"고 말했다.</p> <p contents-hash="cf1285343d2d6c7c5b1a743b908e843902e81f26176837cbf2d78887caadf336" dmcf-pid="018eH0jJTT" dmcf-ptype="general">관리 대상을 누락하지 않고 전체적인 점검이 필요하다고도 제언했다. 김 대표는 "대형 기업이나 공공기관도 중앙에서 관리하는 주요 시스템만 챙기고, 부서별 소규모 사이트나 외부 호스팅 서비스는 제외하면 보안 취약점이 생길 수 있다"며 "관리 대상이 빠지지 않았는지, 실제 조치가 완료됐는지 여부로 판단해야 한다"고 말했다.</p> <p contents-hash="edca8adf25c32e19e862dcd1631814906cc56a50cf220f7c9faa548fd3847b94" dmcf-pid="pS72IWRfSv" dmcf-ptype="general">정부는 PHP 취약점으로 인한 대규모 해킹 가능성에 선제 대응하기 위해 이날 12시부로 민간 분야 사이버위기 '주의' 경보를 발령했다. 이와 더불어 각 부처와 협력해 중소기업 대상 보안점검 및 조치 요청을 논의할 예정이라고 발표했다.</p> <p contents-hash="73374ae339b6ebb8c74deaa313cd537798612ab793a449b7dcb33ca47c791126" dmcf-pid="UvzVCYe4TS" dmcf-ptype="general">정부 지원이 있더라도 기업의 자체적인 역량과 의지에 따라 대응 수준이 달라질 수 있다는 우려도 제기된다. 강병탁 AI스페라 대표는 "포털사이트에 'APM(Apache·PHP·MySQL)'만 검색해보더라도 많은 정보가 나온다"며 "그만큼 PHP가 포함된 패키지를 활용해 웹사이트를 구축하는 이들이 많다는 의미"라고 말했다.</p> <p contents-hash="793e2fbb10ff8bd5ce1cdf103937c87d229c26d7d847b1b354d4cd6680abc153" dmcf-pid="uTqfhGd8hl" dmcf-ptype="general">이어 "보안 패치의 경우 오래된 2.0 버전을 적용 중이라면 3.0, 4.0, 5.0 등 단계적으로 조치를 취해야 하는 경우가 많다"며 "이를 체계적으로 해내기 어려운 중소기업이라면, 이번에 문제가 된 특정 업로드 기능 등을 중지시키는 것이 현실적인 (임시 대응) 방법이 될 수 있다"고 부연했다.</p> <p contents-hash="cc1cbbaf93772a4e6adc93e4a480c04899094930f79341cbd464e1e7e1cc90d9" dmcf-pid="7yB4lHJ6Sh" dmcf-ptype="general">KISA는 즉시 업데이트가 어려울 경우 웹 방화벽, 웹 서버, 프록시 등 PHP 앞단에서 요청 크기를 제한하고 파일 업로드가 필요 없는 서비스에 대해서는 업로드 요청을 차단할 것을 권고했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 [AI 표준 전쟁 ③] 시시각각 변하는 AI 모델 검증은?…“기존 SW시험 체계론 한계” 10-23 다음 프로그래밍 언어 버그 하나에…전 세계 인터넷 교란 위기[긴급 진단-PHP 버그 비상①] 10-23 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
