[서울=뉴시스]윤정민 윤현성 기자 = 미국 사이버보안 당국이 웹 개발 언어 'PHP'의 치명적 결함 2건을 실제 공격에 악용된 취약점 목록에 올리고 연방기관에 긴급 보안 조치를 명령했다. 국내외 보안기업들의 실전 해킹 관측에 이어 미국 정부까지 실제 악용 증거를 공식 인정한 것이다.

국내에서도 해킹과 개인정보 유출 사고가 잇따르는 가운데 정부가 통신·금융·플랫폼 등 민간 주요정보통신기반시설의 취약점 점검에 나섰다.

28일 미국 사이버보안·인프라보안국(CISA)에 따르면 CISA는 지난 26일(현지 시간) PHP2Shell 취약점인 'CVE-2026-109618'과 'CVE-2026-109619'를 '알려진 악용 취약점(KEV)' 목록에 등록했다.

◆美 "사흘 내 조치하라"…日은 서비스 멈추고 패치

 CISA의 이번 KEV 등록은 해당 결함이 해커들에게 실제로 악용되고 있다는 명백한 증거를 미국 정부가 공식 인정한 조치다. CISA는 연방기관뿐 아니라 다른 조직에도 KEV에 등록된 취약점을 우선 조치하도록 권고하고 있다.

두 취약점의 조치 기한은 미국 현지 시간으로 오는 29일이다. 미 연방 행정기관은 운영지침에 따라 외부 노출 여부와 위험도 등을 평가해 대응해야 한다. 최우선 대응 대상에는 사흘 내 취약점 수정·완화와 침해 흔적 점검이 요구된다.

세계 주요국에서도 취약점 공개 초기부터 업데이트와 외부 접속 차단 등 긴급 대응이 이어졌다.

일본 재무성은 지난 21일 점검과 보안 패치 적용을 위해 홈페이지 일부 콘텐츠와 서비스를 일시 중단했다. 보안 조치를 마친 뒤 26일 모든 콘텐츠의 공개를 재개했다.

유럽연합(EU) 집행위원회와 유럽사이버보안청(ENISA), CERT-EU 등도 지난 21일 공동 성명을 내고 인터넷에 노출된 시스템부터 보안 업데이트를 적용하도록 권고했다.

◆韓, 핵심시설 172곳 점검 착수…조치 완료 현황 파악은 과제

취약점을 통한 침해와 정보 유출 우려가 커지자 우리 정부도 주요 시설의 보안 관리 실태 점검에 나섰다.

과학기술정보통신부에 따르면 정부는 민간 주요정보통신기반시설을 관리하는 111개 기관, 약 172개 시설을 대상으로 보안 취약점 점검을 진행하고 있다.

정부는 통신·플랫폼·금융 등 주요 산업 분야에서 PHP 사용 현황과 취약점을 확인할 계획이다. 외부에 노출된 서버와 웹페이지 등 공격자가 접근할 수 있는 자산 전반도 살펴본다.

과기정통부는 이달 말까지 대상 기관의 동의를 확보하고 자체 점검표를 배포할 예정이다. 점검은 이르면 다음 달, 늦어도 연내 마무리할 방침이다.

정부는 앞서 지난 22일 PHP 취약점에 대응해 민간 분야 사이버 위기경보를 '관심'에서 '주의'로 상향했다.

국가정보원은 해당 취약점을 악용한 국가·공공기관 전산망 대상 사이버공격 시도를 집중적으로 모니터링하고 있다. 위협 상황을 고려해 시스템 운영 일시 중지 등의 권고 여부도 검토하고 있다.

민간을 포함한 국내 인터넷 서비스 전반에서는 PHP 보안패치 적용이 더딘 것으로 나타났다.

보안기업 '센시스' 집계에 따르면 이날 오전 8시 기준 취약한 PHP 버전 사용 이력이 있는 국내 서비스 51만1801개 중 2만1052개가 수정 버전으로 전환했다. 패치율은 4.1%다.

다만 이는 외부에 표시된 버전을 기준으로 한 집계다. 기존 버전에 보안 수정 사항만 반영한 '백포트' 환경은 패치 후에도 취약한 것으로 분류될 수 있다.

보안업계는 운영자가 외부 진단 결과뿐 아니라 실제 패치 적용 여부를 확인해야 한다고 강조하고 있다. 업데이트를 마쳤더라도 패치 이전의 침해 흔적은 별도로 점검할 필요가 있다.


◎공감언론 뉴시스 alpaca@newsis.com, hsyhs@newsis.com