"비밀번호 없어도 서버 장악"…전 세계 웹사이트 덮친 'PHP' 보안 비상
전 세계 웹사이트 핵심 기술 'PHP'서 치명적 보안 결함 2건 확인
해커가 원격으로 맘대로 조종 가능…위험도 10점 만점에 9.2점 '최고 수준'
유럽 보안 당국 "패치 당장 어렵다면 외부 접속 차단해야" 강력 경고
[파이낸셜뉴스] 전 세계 수많은 웹사이트와 온라인 쇼핑몰을 구동하는 핵심 프로그래밍 언어 'PHP'에서 해커가 비밀번호 없이도 서버를 장악할 수 있는 치명적인 보안 취약점이 발견돼 전 세계 사이버 보안에 비상이 걸렸다.
21일(현지시간) AP통신 등 외신과 국내외 보안업계에 따르면 PHP 개발진은 한국시간으로 이날 밤 11시, 2건의 심각한 보안 취약점을 해결하기 위한 긴급 업데이트를 배포한다.
이번에 발견된 취약점(일명 'PHP2Shell')의 위험도는 국제 보안 평가 기준(CVSS 4.0) 10점 만점에 9.2점으로, 가장 높은 '치명적' 등급에 해당한다. 로그인 같은 정상적인 인증 절차 없이도, 외부 공격자가 원격으로 서버에 침투해 마음대로 악성 코드를 실행할 수 있는 결함이기 때문이다. 이를 악용하면 해커가 웹사이트의 고객 데이터를 통째로 빼돌리거나 홈페이지 화면을 마음대로 바꿀 수 있다.
PHP는 우리가 흔히 접하는 온라인 쇼핑몰, 기업 홈페이지, 웹사이트 제작 도구인 '워드프레스' 등을 만드는 데 뼈대 역할을 하는 기술이다. 인터넷 곳곳에 광범위하게 쓰이는 만큼 피해 규모가 걷잡을 수 없이 커질 수 있어 각국 보안 당국도 다급하게 움직이고 있다.
유럽연합(EU) 컴퓨터긴급대응팀(CERT-EU)은 기관과 기업들에 "보안 업데이트가 나오는 즉시 적용하라"고 권고하며 "만약 당장 조치하기 어렵다면 취약점이 해결될 때까지 아예 웹사이트 접속을 일시적으로 차단하는 방안까지 검토하라"고 강력히 경고했다.
국내 보안 전문가들 역시 각별한 주의를 당부했다. 특히 예전에 만들어 두고 잊어버린 웹사이트나 외주로 제작한 오래된 쇼핑몰 등에도 취약한 구형 PHP가 숨어 있을 수 있다며, 방치된 사이트에 대한 철저한 점검을 강조했다. 아울러 홈페이지 운영자들이 업데이트를 적용하는 것에 그치지 말고, 해커가 이미 몰래 심어둔 원격 조종 파일(웹셸)이 없는지 서버의 이상 징후를 반드시 살펴봐야 한다고 조언했다.
[email protected] 박지현 기자
