금융권에서 인공지능(AI)을 활용한 해킹 우려가 커진 가운데 이번에는 웹 프로그래밍 언어 'PHP' 자체의 보안 취약점이 잇따라 발견됐습니다. 국내 5대 시중은행 가운데 KB국민은행과 우리은행이 PHP를 사용하고 있는 것으로 확인됐습니다. 두 은행은 자체 점검을 통해 관련 이슈를 파악하고 보완 조치에 나섰습니다.
25일 업계에 따르면 한국인터넷진흥원(KISA)은 전날 PHP 신규 취약점(CVE-2026-115560)에 대한 보안 공지를 추가로 발표했습니다. 지난 21일 이후 사흘 만입니다. 앞서 공개된 취약점 2건은 국제 보안 취약점 평가체계(CVSS)에서 각각 9.2점을 받아 최고 위험 등급인 '치명적(Critical)'으로 분류됐습니다.
PHP는 웹사이트의 로그인과 게시판 등을 구현하는 프로그래밍 언어입니다. 전 세계 웹사이트의 최대 70%, 국내는 약 85%가 사용하는 것으로 추정됩니다. 특정 사이트나 애플리케이션이 아닌 PHP 자체에서 결함이 발견됐다는 점에서 취약한 버전을 사용하는 여러 웹사이트와 서버가 공격 대상이 될 수 있습니다.
국내 5대 시중은행 중에서는 KB국민은행과 우리은행이 PHP를 사용하고 있습니다. 두 은행은 관련 취약점을 인지하고 보안패치 적용 등 보완 조치를 완료했거나 진행 중입니다. 다만 PHP를 사용한다는 사실만으로 실제 취약점에 노출됐다고 단정할 수는 없어 적용 버전과 시스템별 영향 여부를 확인할 필요가 있습니다.
취약점 공개 이후 악용 시도도 이어지고 있습니다. 애플리케이션 보안업체 아이키도 시큐리티의 공동창업자 매들린 로런스는 취약점 공개 하루 만에 클라우드플레어에서 이를 노린 공격 시도가 수백만 건 보고됐다고 밝혔습니다. 싱가포르 사이버보안 기업 사이퍼마는 한국어 사용과 표적 선정 방식 등이 북한 배후 해킹조직 라자루스의 활동 양상과 유사한 사례도 포착했다고 공개했습니다.
국내의 취약한 PHP 관리 환경도 우려를 키우는 요인입니다. 보안업체 안랩에 따르면 업데이트 지원이 종료된 취약 버전의 PHP가 설치된 것으로 추정되는 국내 서버는 약 11만건으로 세계 6위 수준으로 파악됐습니다. 보안 업데이트를 제때 적용하지 않은 시스템은 알려진 취약점에 계속 노출될 수 있습니다.
정부도 대응에 나섰습니다. 배경훈 부총리 겸 과학기술정보통신부 장관은 지난 23일 국회에서 범부처 종합 대책과 관련 조직 개편을 검토하고 있다며 대응 가이드라인 마련에 속도를 내겠다고 밝혔습니다. 과기정통부는 호스팅업체와 홈페이지 제작업체 등 관련 업계와도 협의하고 있습니다.
전세계적으로 웹사이트 개발·운영에 널리 쓰이는 프로그래밍 언어 'PHP'의 웹홈페이지 전경. 왼쪽 하단에 "보안 권고: 치명적인 원격 코드 실행 취약점, 즉시 업데이트 하라"는 긴급 알람이 떠 있다.(사진=뉴시스)
신수정 기자 newcrystal@etomato.com