[비즈니스포스트] 정부가 전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 치명적 보안 취약점이 발견되자 주요 기업에 긴급 보안 조치를 요청했다.

22일 정보통신업계 취재를 종합하면 과학기술정보통신부와 한국인터넷진흥원(KISA)은 21일 밤 사이버 위협정보 분석·공유 시스템(C-TAS) 회원사와 정보보호 최고책임자(CISO) 신고 의무 기업을 대상으로 PHP 취약점에 대한 보안 조치를 안내했다.

C-TAS에는 약 5900개 기업과 기관이 참여하고 있으며, 정보통신망법에 따라 CISO를 지정해 과기정통부에 신고해야 하는 기업은 약 3만 곳이다.

정부는 KISA 보호나라 홈페이지를 통해서도 PHP 보안 업데이트와 패치 적용을 권고하고 있다.

취약점은 공격자가 별도의 인증 절차 없이 외부에서 악성 코드를 실행하거나 서버를 장악할 수 있는 위험성이 있어 기업들의 신속한 대응이 필요한 상황이다.

해외에서는 해당 취약점을 실제 공격에 활용할 수 있는 개념증명(PoC) 코드까지 공개되면서 보안 위협이 커지고 있다.

캐나다 사이버보안센터는 21일 보안 권고문에서 PHP 취약점을 재현하는 공격 코드가 공개됐으나, 당시 실제 공격에 악용된 정황은 확인되지 않았다고 밝혔다.

유럽연합 사이버보안청(ENISA)과 유로폴 등 유럽 주요 기관들도 21일 공동 성명을 내고 기업들에 긴급 보안 조치를 권고했다.

유럽연합 침해사고대응팀(CERT-EU)은 즉각적 보안 패치가 어려운 기업은 인터넷에 노출된 애플리케이션을 외부 네트워크에서 일시적으로 격리하는 방안을 고려해야 한다고 안내했다.

유럽 사이버보안 당국은 기업들이 직접 PHP를 사용하지 않더라도 PHP가 내장된 상용 소프트웨어나 오픈소스 제품을 통해 보안 취약점에 노출될 수 있다고 경고했다.

과기정통부는 관계 기업에 보안 조치를 안내한 데 이어 중소기업을 대상으로 긴급 보안 패치를 지원하는 방안도 검토하고 있는 것으로 알려졌다. 조승리 기자