소상공인·중소기업 보안 전문 인력 부족으로 대응에 한계…KISA “관련 침해사고 신고·접수 없어”
10월 23일 보안업계에 따르면 ‘PHP2Shell’로 불리는 PHP 취약점 2건(CVE-2026-109618·CVE-2026-109619)이 공개되면서 기업들이 긴급 대응에 나섰다. PHP는 홈페이지 로그인, 게시글 작성, 쇼핑몰 결제 등을 서버에서 처리하는 프로그래밍 언어다. 취약한 환경에서는 공격자가 로그인 없이 서버에서 악성 명령을 실행할 수 있다.
안랩이 보안 패치 배포 전 조사한 결과, 취약한 PHP 버전이 설치된 것으로 추정되는 국내 인터넷 자산은 약 11만 건에 달했다. 과학기술정보통신부는 10월 22일 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 올렸다. 다만 한국인터넷진흥원(KISA) 관계자는 23일 “현재까지 해당 취약점과 관련해 KISA에 신고·접수된 침해사고는 없다”고 밝혔다.
모든 기업의 업무시스템이 PHP 취약점에 노출된 것은 아니다. 대기업과 금융권의 핵심 업무시스템에는 자바(Java) 기반 기술이 널리 쓰이고 있기 때문이다. PHP는 쇼핑몰과 기업 홈페이지 등에서 주로 활용되는데, 외부 웹서비스가 내부 시스템과 연결돼 있다면 피해가 확산할 여지가 있다.
직장인이 먼저 체감할 수 있는 건 업무 기능의 제한이다. 웹호스팅업체 카페24는 10월 21일 긴급 보안 설정을 변경하면서 파일 8개 초과 동시 업로드나 입력 변수 200개 초과 양식의 저장이 제한될 수 있다고 공지했다. 상품 사진을 한꺼번에 올리거나 자료를 대량 입력하는 담당 직원이라면 불편을 겪을 수 있다. 카페24는 22일 구형 PHP 서비스에도 별도 보안 업데이트를 진행하며 서버별 1~10분가량 서비스 중단 가능성을 안내했다.
해외에서는 예방 차원의 서비스 중단이 현실화했다. 일본에서는 21일 온라인 쇼핑 플랫폼 BASE와 픽시브, 니코니코 등 주요 서비스가 긴급 점검 또는 일시 중단에 들어갔다. 일본 당국은 신속한 보안 패치가 어려울 경우 웹사이트를 잠시 멈추는 방안을 제시했다. 영국에서도 예방 차원의 서비스 중단이 발생했다. 런던에 있는 영국 예산책임청(OBR)은 10월 21일 PHP 취약점에 대응하기 위해 공식 홈페이지를 일시 중단했다. 영국 국가사이버보안센터(NCSC)는 신속한 보안 업데이트가 어려운 경우 해당 시스템을 일시 중단하는 방안도 권고했다.
권 교수는 “사업자 입장에서는 보안이 뚫려 잃게 되는 것에 대한 우려도 있지만, 서비스 중단으로 잃게 되는 가치가 더 클 수 있다”면서 “두 가지를 비교해 판단하는 ‘위험 관리’를 적절하게 해야 한다”고 말했다. 해킹 위험과 서비스 중단으로 발생할 손실을 비교해 일부 기능을 제한하면서 운영을 이어가는 방안도 가능하다는 설명이다.
개인정보 유출 사고 발생 시 법적 책임과 관련해 권 교수는 “정부의 보안 권고를 받고도 아무 조치를 취하지 않으면 법적 책임을 질 가능성이 높아진다”면서 “다만 불가항력적인 사정이 있었는지, 사업자가 필요한 조치를 다했는지 등을 종합적으로 판단해야 한다”고 강조했다. 이어 “정부가 개별 업체의 문제를 모두 해결할 수는 없지만, 신속한 조치가 이뤄지도록 도울 수는 있다”며 전문 인력을 연계하거나 별도 태스크포스(TF)를 꾸려 지원하는 방안을 제안했다.
KISA는 보안 인력이 부족한 중소기업을 대상으로 ‘내 서버 돌보미’를 운영한다. 연간 350개 기업의 서버를 원격 점검하고 취약점 개선을 돕지만, 카페24·가비아 등 호스팅 서버는 점검 대상에서 제외된다. KISA 관계자는 “KISA에서는 기업들이 최신 버전으로 신속하게 업데이트하는 것과 함께, 자체적으로 이상징후를 점검하도록 안내하고 있다”고 말했다.
보안 위험을 직접 점검할 방법도 있다. 보안업체 스틸리언은 22일 웹사이트 주소(URL)만 입력하면 PHP2Shell 취약점 노출 여부를 확인할 수 있는 무료 점검 서비스를 공개했다. 다만 사이트 소유자나 관리 권한이 있는 이용자를 위한 것으로, 점검 결과가 안전하더라도 보안 업데이트를 대신할 수는 없다.
전문가들은 호스팅 이용자는 업체에 패치 적용 여부를 확인하고, 일반 직장인은 사내 전산 담당자를 통해 업무시스템의 보안 상태를 확인하는 것이 우선이라고 조언했다.
손우현 기자 woohyeon1996@ilyo.co.kr