PHP 취약점 사고 우려에…배경훈 부총리 "범부처 사이버보안 종합대책 내놓겠다"

PHP 취약점에 해킹 비상…韓도 정부 대응 속도·보안 실태 도마

서천호·최형두 "정부 대응 안일…금융권 등 전방위 점검 필요"

한준호 "경보보다 실제 보호조치 중요"…KISA "직접 점검 한계"

[서울=뉴시스]전세계적으로 웹사이트 개발·운영에 널리 쓰이는 프로그래밍 언어 'PHP'의 웹홈페이지 전경. 왼쪽 하단에 "보안 권고: 치명적인 원격 코드 실행 취약점, 즉시 업데이트 하라"는 긴급 알람이 떠 있다. 2026.10.22. *DB 및 재판매 금지.

[서울=뉴시스]윤현성 심지혜 권혜인 수습 고선영 수습 기자 = 전 세계 웹사이트에 사용되는 프로그래밍 언어 'PHP'에서 치명적인 보안 취약점이 발견돼 정부가 사이버위기 경보를 격상한 가운데, 한국인터넷진흥원(KISA)은 국내 공공 시스템의 취약 버전 사용 현황과 보안 패치 적용 여부를 아직 파악하지 못하고 있는 것으로 나타났다.

국회에서는 정부가 경보 발령과 보안 공지에 그치지 않고 실제 취약 시스템을 파악해 보호하는 데 적극적으로 나서야 한다는 지적이 쏟아졌다.

배경훈 부총리 겸 과학기술정보통신부 장관은 23일 국회 과학기술정보방송통신위원회의 과기정통부 종합국정감사에서 PHP 보안 취약점 관련 대응체계 개선 요구에 "정부 차원에서도 문제의식을 굉장히 심각하게 생각하고 있다"며 "범부처 차원의 종합대책을 마련하고 관련 조직도 고민하고 있다. 조만간 발표하겠다"고 밝혔다.

PHP는 웹사이트와 웹서비스 개발에 널리 쓰이는 프로그래밍 언어다. 최근 발견된 보안 취약점 2건은 공격자가 별도 인증 없이 서버에서 악성 명령을 실행할 수 있는 문제로, 악용될 경우 개인정보 유출이나 웹사이트 변조·마비 등으로 이어질 수 있다.

정부는 지난 22일 낮 12시부터 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 상향하고 긴급 대응체계를 가동했다.

"보안 공지만으로 충분한가"…여야, 정부 대응 속도 질타

서천호 국민의힘 의원은 이날 PHP 취약점이 국가안보와 직결될 수 있는 중대한 사안이라며 정부의 대응이 지나치게 소극적이라고 지적했다.

서 의원이 정부의 최초 인지 시점과 대응 조치를 묻자 배 부총리는 PHP 개발진의 취약점 발표 직후 관련 조치를 취했다고 설명했다.

이어 답변에 나선 최우혁 과기정통부 정보보호네트워크정책실장은 "그저께 수요일 오후 11시에 확인됐고 오후 11시20분에 보안 공지를 했다"고 밝혔다.

최 실장은 당시 보안 공지에 즉각적인 패치 적용과 업데이트가 불가능한 시스템의 오프라인 운영 권고를 담았다고 설명했다.

또 민간 사이버위기 경보를 '주의'로 높이고 정보보호최고책임자(CISO) 약 2만8000명과 주요 기반시설 111곳 등에 긴급 대응을 요청했다고 덧붙였다.

하지만 서 의원은 "정부가 취한 조치는 각 기관에서 알아서 적절히 처리하라는 수준"이라며 "가장 속도감 있게 대응해야 할 분야에서 정부의 대응이 너무 느리다"고 비판했다.

최형두 국민의힘 의원도 PHP 취약점이 금융권 등 주요 시스템에 미칠 영향을 우려하며 보다 적극적인 점검을 촉구했다.

최 의원은 "인증 없이 바로 서버를 장악할 수 있기 때문에 위험한 것"이라며 "은행뿐 아니라 카드·보험·증권 등 금융권 전방위 조사로 확대해야 한다"고 강조했다.

특히 보안 패치가 제공되기 전부터 위험성을 파악하고 선제적으로 대비하는 체계가 필요하다며 과기정통부가 사이버보안 대응에서 보다 적극적인 역할을 해야 한다고 주장했다.

KISA "취약 버전·패치 완료 현황 미파악"…배경훈 "종합대책 마련"

한준호 더불어민주당 의원은 정부가 얼마나 신속하게 경보를 발령했는지보다 실제 취약 시스템을 파악하고 보호했는지가 중요하다고 지적했다.

한 의원은 이상중 KISA 원장에게 "중앙행정기관과 지방자치단체, 공공기관에서 PHP를 사용하는 시스템이 몇 개나 있느냐"고 물었다.

이 원장은 "공공행정기관은 대부분 PHP를 사용하지 않는 것으로 알고 있다"고 답했다. 이어 취약한 PHP 버전이 설치된 시스템 수와 패치 완료 현황을 파악하고 있는지 묻자 "아직까지 파악되지 않고 있다"고 밝혔다.

한 의원은 "중요한 것은 경보를 발령했느냐가 아니라 취약한 공공 시스템을 얼마나 신속하게 파악하고 보호했느냐"며 실질적인 대응 상황을 따져 물었다.

이에 이 원장은 현행 규정상 KISA가 해당 시스템을 직접 스캔하는 등 일괄적으로 점검하기는 어렵다고 설명했다.

한 의원은 "그렇다면 정부와 논의해서 보호조치를 해야 한다"며 관련 제도와 대응체계의 보완을 요구했다.

배 부총리는 "PHP 문제를 넘어 근본적인 대책을 수립할 필요가 있다"며 "범부처 차원의 종합적인 대책을 세워 보고드리겠다"고 답했다.

앞서 배 부총리는 국가안보실이 사이버위협 대응의 컨트롤타워 역할을 맡고 있다면서도 범부처 협력체계를 강화할 필요가 있다는 입장을 밝혔다. 정부는 향후 사이버보안 대응 조직과 관련 제도 개선 등을 포함한 종합대책을 마련할 방침이다.


◎공감언론 뉴시스 [email protected], [email protected], [email protected], [email protected]