“PHP 해킹 비상” 전 세계 웹사이트 75%가 쓰는 언어에 치명적 구멍…국내 5대 은행 중 2곳도 사용, 내 쇼핑몰·홈페이지는 괜찮을까
안병훈 기자
웹사이트 열 곳 중 일곱 곳 넘게 쓰는 프로그래밍 언어에서 치명적인 보안 취약점이 발견됐습니다. 이름은 PHP. 워드프레스를 비롯해 우리가 매일 쓰는 홈페이지와 쇼핑몰의 상당수가 이 언어 위에서 돌아갑니다. 국내 5대 시중은행 중 2곳도 PHP를 쓰는 것으로 확인됐습니다. 지금 이 글을 읽는 사장님의 홈페이지는 안전할까요?
무엇이 문제인가
이번 결함은 PHP가 메모리를 다루는 방식에서 비롯된 것으로, 10년 넘게 코드 속에 숨어 있었던 것으로 알려졌습니다. 취약한 서버에서는 외부 공격자가 인증 없이 임의의 프로그램을 실행하거나 시스템을 장악할 수 있습니다. 쉽게 말해 현관 열쇠 없이도 집 안으로 들어올 수 있는 구멍이 있다는 이야기입니다. 개발진은 두 건의 취약점을 고친 새 버전을 공개했고, 유럽과 일본, 호주 등 여러 나라의 사이버보안 당국이 긴급 업데이트를 권고했습니다.
이미 공격 시도가 있었다는 점이 위험합니다
패치가 나오기 전부터 공격 시도가 확인됐고, 클라우드플레어 같은 보안업체는 공격 경로에 맞춰 방어 조치를 계속 갱신하고 있습니다. 일부 유럽 정부 기관은 패치를 적용할 때까지 사이트 운영을 중단하는 선택까지 했습니다. 이 정도면 남의 일로 보기 어렵습니다. 보안 업계에서는 패치 공개 직후가 공격자에게는 분석할 기회가 열리는 때라고 말합니다. 업데이트가 늦어질수록 위험은 커집니다.
사장님·운영자가 오늘 확인할 다섯 가지
첫째, 호스팅 업체나 관리자 화면에서 PHP 버전을 확인하세요. 워드프레스라면 관리자 화면의 사이트 상태 메뉴에서 볼 수 있습니다. 둘째, 호스팅 업체가 패치된 버전을 제공하는지 문의하고 업데이트를 요청하세요. 셋째, 워드프레스 코어와 플러그인, 테마를 최신으로 올리세요. 넷째, 관리자 비밀번호를 바꾸고 2단계 인증을 켜세요. 다섯째, 지금 시점의 전체 백업을 받아 두세요. 문제가 생겨도 되돌릴 수 있는 가장 확실한 방법입니다.
일반 이용자는 어떻게 해야 할까
은행 앱이나 홈페이지를 쓴다고 해서 당장 불안해할 필요는 없습니다. 금융기관은 보통 별도의 방어 체계를 갖추고 있고 패치를 서둘러 적용합니다. 다만 이런 때일수록 문자나 메일로 오는 보안 업데이트 안내 링크를 누르지 마세요. 사고가 나면 사칭 메시지가 늘어납니다. 공식 앱과 공식 번호로만 확인하는 습관이 가장 안전합니다. 은행에서 개인정보 확인을 요구하는 전화가 오면 일단 끊고 직접 걸어 확인하세요.
왜 PHP가 이렇게 많이 쓰일까요
PHP는 오래된 만큼 배우기 쉽고 호스팅 환경 어디서나 돌아가서 소규모 사업자부터 대형 서비스까지 폭넓게 쓰입니다. 워드프레스 같은 콘텐츠 관리 도구도 PHP 위에 만들어졌고, 쇼핑몰과 게시판, 예약 시스템의 상당수가 같은 기반을 씁니다. 그만큼 한 번 결함이 발견되면 영향을 받는 곳이 많습니다. 편리함이 크면 위험도 같이 커지는 구조입니다.
업데이트가 어려운 사장님을 위한 현실적인 방법
개발자를 따로 두지 못한 소규모 사업자라면 가장 쉬운 방법은 호스팅 업체 고객센터에 전화나 문의 글로 PHP 버전 업데이트를 요청하는 것입니다. 대부분의 호스팅은 관리 페이지에서 PHP 버전을 선택할 수 있게 해 두었습니다. 바꾸기 전에는 사이트가 새 버전에서 정상 동작하는지 확인하기 위해 백업을 먼저 받으세요. 업데이트 뒤에는 결제와 로그인 같은 핵심 기능을 직접 한 번 눌러 보세요. 문제가 생기면 호스팅 업체에 즉시 알려 되돌릴 수 있게 해야 합니다.
이상 징후, 이런 게 보이면 의심하세요
사이트가 갑자기 느려지거나 모르는 관리자 계정이 생겼거나 처음 보는 파일이 올라가 있다면 해킹 가능성이 있습니다. 검색 결과에 이상한 문구나 스팸 링크가 나타나는 경우도 마찬가지입니다. 이럴 땐 관리자 비밀번호를 바꾸고 호스팅 업체에 점검을 요청하세요. 고객 정보가 들어 있는 사이트라면 개인정보 보호 관련 의무가 따르므로 한국인터넷진흥원 신고 창구를 확인해 보시기 바랍니다.
기자의 생각
솔직히 이 뉴스에서 가장 무서웠던 대목은 10년이 넘도록 아무도 몰랐다는 사실입니다. 우리가 믿고 쓰던 길이 처음부터 구멍이 나 있었다는 얘기니까요. 한쪽에서는 “대형 은행은 알아서 막겠지” 하고, 다른 쪽에서는 “우리 같은 작은 가게는 노릴 이유가 없다”고 합니다. 하지만 공격자는 큰 곳만 노리지 않습니다. 자동화된 도구로 열려 있는 문을 가진 곳을 닥치는 대로 훑습니다. 작은 쇼핑몰이 오히려 방어가 약해서 더 쉬운 먹잇감이 됩니다. 저도 사이트를 여러 개 운영하는 사람으로서 이런 뉴스가 나오면 가장 먼저 업데이트 버튼부터 눌러 봅니다. 오늘만큼은 미루지 말고 호스팅 업체에 연락 한 통 해 보세요. 귀찮음이 가장 큰 취약점입니다.
독자에게
이 글은 공개된 보안 정보를 바탕으로 한 일반 안내이며, 구체적인 대응은 사용하시는 호스팅과 시스템 전문가의 안내를 따르시기 바랍니다.
