[화담일보 = 윤다인기자] 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 PHP의 심각한 보안 취약점이 공개된 뒤 이를 악용하려는 공격 시도가 급증했다. 대규모 정보 유출이나 시스템 장악 피해는 뚜렷하게 확인되지 않았지만, 전문가들은 공격 난도와 피해 발견 지연 가능성을 함께 살펴야 한다며 패치와 소프트웨어 자산 점검을 권고했다.
뉴시스의 24일 보도에 따르면 지난 21일 저녁 공개된 이번 결함은 아이디와 비밀번호 없이도 서버를 제어하거나 핵심 정보를 빼내는 데 악용될 수 있다. 미국·유럽·일본 등의 사이버 보안 당국이 대응에 나섰으며, 한국 정부도 21일 청와대 국가안보실 주재로 민·관·군 사이버 안보 긴급 대책 회의를 열었다.
유럽 일부 정부 포털과 병원 웹사이트, 일본 항공사·철도회사·금융기관 등에서는 긴급 점검을 위해 서비스를 중단한 사례가 있었다. 다만 이런 예방적 서비스 중단과 실제 침해 피해는 구분해야 한다. 당시 정보 유출이나 시스템 장악에 따른 피해 규모는 명확하지 않은 상태였다.
공격 시도는 취약점 공개 이전부터 포착됐다. 매슈 프린스 클라우드플레어 최고경영자(CEO)는 소셜미디어를 통해 공개 전 10시간 동안 수천 건이던 악용 시도가 공개 후 2시간 안에 수십만 건으로 늘었고, 이후 수백만 건에 달했다고 밝혔다. 아마존 위협 인텔리전스팀은 이보다 앞선 17일 현지시각에 해당 취약점을 겨냥한 공격 시도를 처음 탐지했다.
시도가 늘었다고 모두 침해 성공으로 이어지는 것은 아니다. 이번 결함은 프로그램이 메모리를 처리하는 과정에서 발생하는 오류로, 공격자가 오류를 유발하는 데 그치지 않고 메모리가 해제되고 재사용되는 과정까지 정교하게 제어해야 한다. 따라서 취약한 서버라도 동일한 공격 코드가 곧바로 작동한다고 볼 수는 없다.
미국 보안 연구·컨설팅 기업 트레일오브비츠의 댄 귀도 CEO는 경력 10년의 보안 전문가도 첨단 인공지능 모델을 활용해 취약점을 실제 공격에 사용하는 데 하루가 걸렸다고 설명했다. 소포스의 돈 스미스 위협연구 담당 부사장 역시 악용이 당초 예상보다 어려운 것으로 보인다면서도 공격이 장기간에 걸쳐 서서히 진행될 가능성을 제기했다.
피해가 드러나기까지 시간이 걸릴 가능성도 남아 있다. 공격자가 흔적을 지우거나 보안 모니터링이 충분하지 않으면 침해 사실을 뒤늦게 발견할 수 있다. 프린스 CEO는 일부 시스템에 이미 침입한 공격자가 외부에 드러나지 않은 채 잠복했을 가능성도 배제할 수 없다고 지적했다. 이는 확인된 침해 사례가 아니라 잠재적 위험에 대한 설명이다.
박세준 티오리 대표는 공격자가 안정적인 공격 방법을 확보했는지 현재로서는 알 수 없다며, 성공 가능성이 남아 있는 만큼 최악의 상황에 대비해 패치할 것을 권고했다. 보안 인력이 부족하거나 보유 서버와 소프트웨어 현황을 제대로 파악하지 못한 조직은 취약한 PHP가 설치된 위치부터 찾기 어려울 수 있다.
강정민 고려대 인공지능사이버보안학과 교수는 취약한 버전이 조직 내부 어디에서 사용되는지 신속하게 파악하는 체계가 중요하다고 강조했다. 소프트웨어 구성명세서(SBOM)를 자산 관리 체계와 연계해 구성 요소와 의존성을 파악하고, 실제 운영 환경을 들여다볼 수 있는 가시성을 확보해야 한다는 조언이다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}