웹 프로그래밍 언어 PHP에서 심각한 보안 결함이 나타나 정부와 업계가 대책 마련에 들어갔으나, 일선 중소기업 현장에서는 즉각적인 패치 적용에 차질을 빚고 있다. 23일 웹 기술 통계 서비스 W3테크스 집계에 따르면 국내에 서버를 둔 웹사이트 가운데 PHP 이용 비율은 82.7%로, 세계 평균치인 69.3%를 크게 웃돈다.
위험성을 키우는 요인은 보안 지원이 끝난 구형 소프트웨어의 높은 점유율이다. 미국 사이버보안 스타트업 맬러리 조사 결과 전 세계 인터넷 연결 서비스의 73.5%가 지원이 중단된 PHP 8.1 이하 버전을 사용한다. 최신 버전으로 판올림하려면 기존 소스코드를 전면 점검해야 하지만, 외주 개발사 폐업이나 담당자 퇴사로 관리가 끊긴 이른바 '코드 고아' 사이트가 적지 않다.
무중단 운영을 이어가야 하는 영업 환경도 빠른 조치를 가로막는 걸림돌이다. 온라인 쇼핑몰과 예약 플랫폼 등은 시스템을 잠시만 정지해도 매출 감소와 이용자 항의가 발생한다. 홍준호 성신여대 융합보안공학과 교수는 “구형 PHP버전을 장기간 사용하거나 개발자가 퇴사해 유지 보수가 어려운 '코드 고아' 환경에서는 실제 패치 적용까지 상당한 시간이 소요될 수 있고, 공격자가 그 사이를 악용할 가능성이 높다”고 말했다.
취약 서버 방치는 전산망 침투와 개인정보 유출 등 2차 사고로 번질 위험이 크다. 한국인터넷진흥원(KISA)과 보안업계는 무료 점검을 제공하면서 웹방화벽(WAF) 배치 등 임시 차단책을 권고하고 있다. 권태경 연세대 정보보호대학원 교수는 “기업들은 항시 자사 시스템에 취약점이 존재할 수 있다는 전제로 대비해야 한다”며 “KISA 등 관련 기관이 중소기업을 신속히 돕는 일상적 대응 체계를 갖추는 것이 중요하다”고 밝혔다.
정부 차원의 사후 지원을 보강해야 한다는 지적도 나온다. 홍 교수는 “중소기업 등 보안 역량이 부족한 조직에 대해서는 실질적인 기술지원 체계를 마련할 필요가 있다”며 “정부도 단순한 취약점 경보와 패치 권고를 넘어 노후 시스템의 교체 지원과 24시간 긴급 대응체계를 강화해야 한다”고 제언했다.
