PHP 보안 결함에 각국 정부 사이트 일시 중단…가상자산 업계도 점검

웹사이트 개발에 쓰이는 프로그래밍 언어 PHP에서 외부 공격자가 서버를 원격으로 조작할 수 있는 보안 취약점이 드러났다. 각국 정부는 패치 적용과 점검을 위해 일부 웹서비스를 일시 중단했고, 가상자산(암호화폐) 기업들도 노출 여부를 확인했다.

22일(현지시간) 코인텔레그래프에 따르면 PHP 재단은 긴급 패치 배포 후 취약점 대응이 지연된 경위를 공개했다. 재단은 "보안팀의 의사결정 과정과 자원 부족으로 수개월간 패치 작업이 반복적으로 중단됐다"며 "이번 지연은 구조적 실패였다"고 밝혔다.

문제가 된 취약점은 인증을 거치지 않은 공격자도 서버에서 임의의 코드를 실행할 수 있는 결함 두 건이다. 재단은 2024년 관련 징후를 포착했지만 기존 PHP 생태계에 미칠 영향을 고려하는 과정에서 해결이 늦어졌다. 올해 8월 보안업체 캘리프와 오픈AI가 각각 취약점을 보고하고 실제 공격 가능성을 입증하면서 대응 우선순위가 높아졌다.

정부 기관의 서비스 중단은 공격 피해가 확인돼서가 아니라 예방 차원에서 이뤄졌다. 네덜란드 디지털 신원 서비스와 국가사이버보안센터 웹사이트, 핀란드 정부 공공 웹서비스 등이 일시 차단됐다. 프랑스와 독일도 일부 정부 웹사이트 운영을 중단했다.

가상자산 업계에서는 코인베이스와 비트고가 점검 결과를 공개했다. 제프 룽글호퍼 코인베이스 최고보안책임자(CSO)는 "취약점 소식을 접한 즉시 전수 점검했으며 노출된 PHP 인스턴스는 발견하지 못했다"고 밝혔다. 비트고 역시 자사 플랫폼에 영향이 없었다고 전했다.

창펑 자오 바이낸스 공동창업자는 "아직 패치를 적용하지 않은 웹사이트가 있을 수 있다"며 "앞으로 며칠간 웹사이트 방문에 주의해달라"고 당부했다. PHP 보안팀은 "공개 시점까지 실제 악용 사례는 확인되지 않았다"고 밝혔다.