전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 인증 없이 시스템을 장악할 수 있는 치명적인 보안 취약점이 발견되자 정부가 관련 기업에 보안 조치를 안내하는 등 긴급 대응에 나섰습니다.

오늘(22일) 정부 당국에 따르면 과학기술정보통신부와 한국인터넷진흥원(KISA)은 전날 밤 사이버 위협정보 분석·공유 시스템(C-TAS) 회원사와 정보보호 최고책임자(CISO) 신고 의무 기업을 대상으로 PHP 취약점에 대한 보안 조치를 취할 것을 요청했습니다.

C-TAS는 KISA가 운영하는 사이버 위협정보 분석·공유 시스템으로, 약 5천900개 참여 기업과 기관이 사이버 위협 정보를 공유하는 체계입니다.

정보통신망법에 따라 정보보호 업무를 총괄하는 정보보호 최고책임자(CISO)를 지정해 과기정통부에 신고해야 하는 의무 기업은 현재 약 3만 곳에 이릅니다.

정부는 사이버 위협 정보를 안내하는 포털인 'KISA 보호나라'를 통해서도 PHP 취약점에 대한 보안 업데이트와 패치 적용을 권고하는 공지를 했습니다.

이번 취약점은 공격자가 악용할 경우 별도의 로그인이나 인증 절차 없이 외부에서 임의의 코드를 실행하거나 시스템을 장악할 수 있는 위험성이 있는 것으로 알려졌습니다.

PHP 개발진은 21일(현지시간) 해당 취약점 2건을 수정한 새 버전을 긴급 공개한 상황입니다.

보안 업계에서는 자체 보안 인력과 대응 역량이 부족한 중소기업의 경우 취약점이 발견돼도 신속한 패치 적용에 어려움을 겪을 수 있는 만큼, 정부가 긴급 패치 지원 등 실질적인 대응책을 마련해야 한다는 지적이 나옵니다.

과기정통부 관계자는 "우선 관계 기업을 대상으로 보안 조치를 안내했고, 중소기업 긴급 패치 지원 등은 검토 중"이라고 밝혔습니다.

웹 기술 분석업체 W3Techs에 따르면 사용된 프로그래밍 언어를 식별할 수 있는 웹사이트의 약 75%가 PHP를 사용합니다.

전체 웹사이트의 약 43%에서 쓰이는 워드프레스 역시 PHP를 기반으로 작동합니다.

이번 취약점은 사이버보안업체 캘리프가 오픈AI의 인공지능(AI) 모델 'GPT-5.6 솔(Sol)'을 이용해 찾아낸 것으로 전해졌습니다.