패치 나오기 나흘 전부터 공격…PHP 허점이 일깨운 것들

전 세계 웹사이트에 널리 쓰이는 프로그래밍 언어 PHP의 보안 취약점을 노린 공격이 보안 패치(수정 프로그램) 공개 나흘 전부터 시작된 것으로 나타났다. 각국 정부와 기업이 해킹을 피하려 온라인 서비스를 일시 중단하고 긴급 보완에 나선 상황에서 취약점 공개 이후 공격 시도는 수백만 건으로 불어났다. 인공지능(AI)의 발전으로 취약점 분석과 공격 도구 개발이 빨라지면서 기존 보안 대응 속도로는 피해를 막기 어렵다는 경고가 나온다.

‘보안 취약점’이라는 문구와 PHP 코드를 함께 담아 제작한 이미지. 로이터=연합뉴스

━

공개 나흘 전부터 공격…정보 입수 경로도 미궁

CJ 모지스 아마존 최고정보보안책임자(CISO) 부사장은 21일(현지시간) 자사 보안 블로그에서 지난 17일 PHP 취약점을 악용하려는 시도를 포착했다고 밝혔다. 취약점의 공식 공개와 패치 배포보다 나흘 앞선 시점이다.

통상 보안 연구자나 보안업체가 보안 취약점을 발견하면 개발진에 먼저 비공개로 알리고 수정 프로그램을 준비한 후 운영자들에게 위험과 업데이트 방법을 함께 공지한다. 이번에는 이런 공지가 나오기 전부터 해커가 행동에 나선 것이다.

공격은 해커의 활동을 관찰하기 위해 설치한 미끼 시스템에서 탐지됐다. 패치 배포 당일에도 공식 공개를 수 시간 앞두고 여러 해커가 관여한 것으로 추정되는 시도가 추가로 확인됐다. 모지스 부사장은 “관측한 공격이 실제 운영 중인 서버에서도 성공할 수 있었는지는 분석 중”이라고 설명했다.

취약점 공개 이후에는 공격 시도가 급증했다. 클라우드 서비스·보안 기업 클라우드플레어의 매슈 프린스 최고경영자(CEO)는 21일 X(옛 트위터)를 통해 “공식 발표 전 10시간 동안 우리 회사 네트워크에서 수천 건의 공격 시도가 관측됐다”고 밝혔다. 발표 이후 45분 만에 수만 건, 2시간 만에 수십만 건으로 늘었고, 이후 수백만 건에 이르렀다는 설명이다.

━

수많은 웹사이트 함께 쓰는 PHP에 보안 구멍

파장이 상당한 건 PHP가 수많은 웹사이트의 작동을 뒷받침하기 때문이다. PHP는 이용자의 로그인이나 게시글 작성 같은 요청을 서버에서 처리하는 프로그램을 만드는 데 쓰인다. 웹 기술 통계업체 W3테크스에 따르면 서버 측 프로그래밍 언어를 확인할 수 있는 웹사이트의 약 69%가 PHP를 사용한다.

김영옥 기자

이번에 발견된 보안 허점 두 건은 외부인이 로그인하지 않고도 웹사이트를 운영하는 컴퓨터에 침입해 정보를 빼내거나 내용을 바꾸고, 서비스를 멈추게 할 수 있는 문제와 관련돼 있다. 연구진은 일부 환경에서 실제로 이런 침입이 가능하다는 점을 실험으로 확인했다. 특히 여러 웹사이트가 공통으로 사용하는 PHP에서 허점이 발견돼 피해가 광범위하게 번질 우려가 커졌다. PHP 개발진은 21일 이를 고치는 수정 프로그램을 배포하고 사이트 운영자들에게 즉시 설치하라고 권고했다.

━

피해 나기 전 접속 차단…은행·항공사·정부도 중단

각국에선 피해 예방을 위한 서비스 중단이 잇따랐다. 실제 공격이 통할 수 있는 허점이 확인된 만큼 피해가 발생하기 전 접속을 막고 보완에 나선 것이다. 일본에선 노무라증권, 전일본공수(ANA), 동일본여객철도(JR동일본) 등이 일부 인터넷 서비스를 일시 중단했다. 재무성, 기상청, 국세청 등 정부 기관도 온라인 서비스의 일부 또는 전체를 닫고 보안 조치를 실시했다.

프랑스 통신그룹 오랑주는 여러 자회사의 PHP 기반 웹사이트와 애플리케이션 일부에 대한 접속을 차단했다. 핀란드의 국영 정보기술(IT) 서비스 제공사 발토리도 정부 공공 웹서비스를 예방적으로 중단한 뒤 패치를 적용하며 차단을 순차적으로 해제하고 있다. 한국에서도 과학기술정보통신부와 한국인터넷진흥원(KISA)이 22일 낮 12시 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 상향했다.

━

고치는 데 시간 걸리는데…AI로 빨라지는 공격

문제는 새로 나온 패치를 모든 웹사이트에 즉각 적용하기 어렵다는 점이다. 각 운영자가 기존 시스템과 충돌하지 않는지 확인하고 정상 작동 여부도 시험해야 한다. 그 사이 해커는 공개된 보안 공지나 패치의 변경 내용을 분석해 아직 수정하지 않은 사이트를 노릴 수 있다. 한누 나우마넨 발토리 청장은 “업데이트 이후에도 면밀한 시험이 필요해 서비스 복구에 며칠에서 몇 주까지 걸릴 수 있다”고 말했다.

‘AI 해커’라는 문구와 PHP 코드를 화면에 띄워 제작한 이미지. 로이터=연합뉴스

보안 허점을 개선하는 작업이 지연됐다는 사실도 이번 사태로 도마에 올랐다. PHP재단은 21일 설명문에서 “취약점 하나의 초기 징후를 2024년에 이미 파악했다”고 인정했다. 당시 실제 공격으로 이어지는 구체적인 경로를 찾지 못했고 수정 방안마다 기존 프로그램과 호환성 등 문제가 뒤따랐다고 한다. 소수 개발자의 업무 부담과 의사결정 지연까지 겹쳐 보완 작업은 수개월간 중단과 재개가 반복됐다. 이와 관련, 재단은 자원 부족과 의사결정 방식에서 비롯된 구조적 실패라고 평가했다.

기술이 진화할수록 해커들의 공격이 빨라지고 있는 점도 우려할 대목이다. 모지스 부사장은 “과거엔 소수의 숙련된 해커가 도구를 만들면 다른 해커들이 이를 받아 쓰는 경우가 많았다”며 “그러나 AI를 활용하면 패치의 변경 내용이나 보안 공지만으로도 공격 도구를 만드는 비용이 낮아진다”고 설명했다. 실제 이번에도 패치 공개 후 몇 시간 만에 추가 공격 코드가 등장했다. 기존 7일이나 30일 단위가 아닌 시간 단위로 패치 적용과 위험 완화 조치를 추진해야 한다는 지적은 그래서 나온다.



이근평([email protected])