美 당국, ‘PHP 보안 비상’에 “업데이트 못하면 오프라인 전환” [PHP 보안결함]

PHP서 치명적 취약점 2건 발견
NSAㆍFBI 긴급 보안 조치 촉구

▲21일(현지시간) 영국 런던의 한 카페에서 한 시민이 노트북을 사용하고 있다. (로이터연합뉴스)

전 세계 웹사이트의 약 70%에서 사용되는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견되면서 미국 국가안보국(NSA)과 연방수사국(FBI)이 긴급 대응을 촉구했다. NSA는 즉각적인 보안 업데이트가 어려울 경우 해당 시스템을 오프라인으로 전환하라고 권고했다.

21일(현지시간) 아나돌루통신에 따르면 PHP 개발진은 이날 공격자가 원격으로 악성 코드를 실행할 수 있는 심각한 보안 취약점 두 건을 발견하고 사용자에게 즉시 보안 업데이트를 설치할 것을 촉구했다. PHP 개발진은 보안 권고문을 통해 웹 요청을 처리하는 모든 설치 환경이 잠재적인 위험에 노출될 수 있다고 경고했다.

미국 정보ㆍ수사당국도 긴급 대응에 나섰다. NSA는 PHP를 사용하는 기관에 즉각적인 업데이트를 준비할 것을 요구했다. 특히 이번 취약점이 공격자에게 서버의 파일 시스템이나 데이터베이스에 직접 접근할 수 있는 경로를 제공할 수 있다고 경고했다.

NSA는 “이러한 취약점은 종종 서버의 파일 시스템이나 데이터베이스로 직접 이어지는 침입 경로를 제공한다”며 “즉각적인 업데이트가 불가능하다면 취약점을 완전히 해결할 때까지 시스템을 오프라인으로 전환할 것을 권고한다”고 밝혔다. NSA는 향후 보다 구체적인 대응 지침도 발표할 예정이다.

FBI 사이버부서 역시 피해가 우려되는 PHP 설치 환경을 즉시 업데이트하고 PHP가 실행되는 시스템의 현황을 파악할 것을 촉구했다. 특히 인터넷에 노출된 서버와 해당 프로그래밍 언어가 포함된 타사 제품을 우선적으로 처리할 것을 당부했다.

또한 잠재적인 악용 사례를 파악하기 위해 PHP 프로세스가 예기치 않게 명령 셸을 실행하거나 파일을 다운로드하는 등 의심스러운 활동에 대해 웹 서버를 모니터링할 것을 촉구했다.