해외는 사이트 닫았는데, 한국 정부는 왜 안 닫았나

10월 21일 밤 11시 20분, 과학기술정보통신부는 기업 등의 정보보호 최고책임자(CISO) 2만8천 명에게 긴급 안내를 보냈다. 웹사이트를 만드는 데 널리 쓰는 프로그래밍 언어 PHP의 개발팀이 치명적 결함 두 건을 고친 판을 내놓은 날 밤이었다. 최우혁 과기정통부 정보보호네트워크정책실장은 23일 국정감사에서 그 내용을 설명했다. "즉시 패치를 업그레이드하고, 패치가 불가능하면 오프라인으로 운용하도록 했다"는 것이다. 패치는 결함을 고친 판으로 바꾸는 일이고, 오프라인 운용은 인터넷 연결을 끊는 일이다. 정부는 이튿날 낮 12시 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 올렸다.

결함은 홈페이지 프로그램이 아니라 PHP 자체에 있어서, 홈페이지를 안전하게 만들었어도 영향을 받을 수 있다. 정부는 공격이 성공하면 고객 정보가 새거나 홈페이지가 바뀌고 마비될 수 있다고 설명했다. 보안업체 안랩은 패치가 나오기 전 기준으로 취약한 판을 쓰는 국내 서버를 약 11만 대로 추정했다. 중소 쇼핑몰과 일부 공공기관·학교 홈페이지도 PHP로 돌아간다. 21일과 22일 일본 재무성과 네덜란드·핀란드의 정부 기관 등은 스스로 홈페이지를 닫았지만, 한국 중앙정부는 닫지 않았다. 행정안전부는 정부 정보시스템이 대부분 PHP를 쓰지 않아 이번 결함의 영향이 상대적으로 작다고 설명했다. 다만 중앙정부 바깥 공공기관의 PHP 현황은 23일 국정감사에서도 답이 나오지 않았다.

살펴볼 것이 세 가지 있다. 결함을 누가 어떻게 찾았는지, 경보 '주의'가 실제로 무엇을 바꾸는지, 그리고 한국 중앙정부가 사이트를 닫지 않은 이유다.

첫째, 결함은 사람 연구자들이 AI 모델을 써서 찾았다. PHP 개발팀은 21일 지원 중인 8.2부터 8.5까지 판마다 두 결함을 고친 판(8.2.35 등)을 냈다. 두 결함은 모두 PHP가 컴퓨터 기억 공간(메모리)을 다루는 과정의 오류다. 정부 설명으로는 외부인이 로그인 없이 조작한 요청을 보내 서버에 원하는 명령을 실행하게 할 수 있다. 다만 실제 공격에는 서버마다 맞는 조건이 필요하다. 오픈AI는 보안업체 캘리프가 8월 자사 모델 'GPT-5.6 솔'로 첫 결함을 찾았다고 밝혔다. 구글이 인수한 보안업체 위즈도 8월 19일 따로 찾았고, 구글 '제미나이 4 아르곤' 등 여러 모델을 썼다고 적었다.

위즈는 AI가 바꾼 것이 결함의 존재가 아니라 결함을 이해해 실제 공격 코드로 만드는 능력이었다고 썼다. 취약한 코드는 10년 넘게 PHP에 있었다. 위즈는 AI 모델과 도구를 쓴 연구자 한 명이 일주일 만에 해냈다며, 예전 같으면 정상급 팀이 몇 달 걸렸을 일이라고 했다. 오픈AI는 AI가 공격자보다 먼저 결함을 찾았다고 했지만, 공개 과정은 계획대로 가지 않았다. 보안업체 샌섹의 정리에 따르면 세부 내용이 20일 먼저 새어 나갔고, 21일 패치가 나오기 전에 이미 초기 공격이 보고됐다. 안랩도 수정판 배포 전부터 공격 시도가 관측됐다고 밝혔다. 오픈AI는 앞으로 몇 달 동안 비슷한 취약점 발견이 급격히 늘 것으로 내다봤다.

둘째, '주의'는 경보 네 단계 가운데 둘째다. 한국인터넷진흥원(KISA)의 경보 기준에서 위험도가 높은 취약점이 나와 피해 가능성이 커진 상태는 '관심'에 해당한다. '주의'는 일부 정보통신망과 정보시스템에 장애가 생기고, 침해사고가 여러 기관으로 번질 가능성이 커진 상태다. '경계'는 여러 통신사업자 망에 장애가 난 경우, '심각'은 국가 차원의 주요 망이 마비된 경우다. KISA는 이번 상향을 대규모 해킹 가능성에 대비한 '선제적인 대응'이라고 적었다. 기준표에 적힌 장애나 확산이 일어났다고 밝힌 것이 아니라, 가능성에 대비해 먼저 올렸다는 설명이다.

주의 단계에서 달라지는 것은 주로 정부 쪽 대응 태세다. 정부는 침해사고 대응 인력을 늘리고 비상출동조를 상시 대기시킨다고 밝혔다. 이번에도 기업과 기관에는 패치를 권하는 보안 조치가 긴급 전파됐다. KISA 경보 기록을 보면 이번 전 두 번의 '주의'는 2025년 5월 대통령 선거와 같은 해 9월 국가정보자원관리원 화재 뒤였다. 2021년 12월 11일 KISA가 널리 쓰이는 기록용 프로그램 로그4j의 결함에 업데이트 권고를 냈을 때 경보는 '관심'에 머물렀다. 이번 경보는 민간 분야에만 적용된다. 공공과 군 쪽은 22일 국가안보실 긴급회의에서 함께 점검했다. 회의에는 민·관·군 사이버위기 주관기관인 과기정통부와 국방부, 국가정보원이 나왔다.

셋째, 일본과 유럽에서는 정부 기관을 비롯한 여러 기관이 예방 차원에서 홈페이지의 전부나 일부를 닫았다. 일본 재무성은 PHP 대응을 위해 홈페이지 일부 콘텐츠와 서비스를 멈췄다. 일본 국세청은 서비스를 한때 내렸고, 기상청도 일부 서비스를 멈췄다. 네덜란드에서는 국가사이버보안센터가 자기 홈페이지를 내렸고, 로테르담 항만과 정부 포털, 병원 여러 곳이 뒤따랐다. 핀란드의 정부 정보기술 기관 발토리는 정부 공공 웹서비스를 내렸지만, 악용 시도는 없었다고 했다.

권고의 내용은 한국과 일본, 유럽이 거의 같았다. 일본 정보처리추진기구(IPA)는 임시 대책이 어려우면 외부 접속 차단이나 서비스 중단이 필요한지 판단하라고 했다. 유럽연합 사이버보안기관(CERT-EU)은 즉시 패치할 수 없으면 인터넷에서 떼어 두라고 했다. 미국 국가안보국(NSA)과 연방수사국(FBI)도 곧바로 업데이트할 수 없으면 시스템을 오프라인으로 돌리라고 권고했다. KISA 대응 수칙도 패치와 임시 조치가 모두 어려우면 외부 접속 차단이나 서비스 일시 중단을 검토하라고 권했다.

차이는 닫을 시스템이 있었느냐에 있었다. 행정안전부는 정부24와 지방세 시스템 등 소관 정보시스템 217개를 조사했더니 PHP로 만든 것이 없었다고 밝혔다. 행안부는 정부와 지방정부 정보시스템 대다수가 자바 언어로 만든 전자정부 표준프레임워크를 쓴다고도 밝혔다. 행안부는 지자체와 공공기관에 PHP를 쓰는 시스템이 있으면 패치하라는 긴급 공문을 22일 보냈다.

그러나 공문을 받은 기관들이 실제로 패치했는지는 KISA도 모른다. 이상중 KISA 원장은 23일 공공기관의 취약 판 사용과 패치 여부를 "아직 파악하지 못하고 있다"고 답했다. 이 원장은 현행 규정상 KISA가 해당 시스템을 직접 스캐닝할 수 있는 입장은 아니라고도 했다. 한준호 더불어민주당 의원은 "중요한 것은 경보를 발령했느냐가 아니라 취약한 공공 시스템을 얼마나 신속하게 파악하고 보호했느냐는 것"이라고 했다. 서천호 국민의힘 의원은 정부 대응이 "너무 안일하고 느리다"고 비판했다.

다만 사이트를 닫지 않았다는 사실만으로 대응이 잘못됐다고 보기는 어렵다. 샌섹은 22일 갱신한 분석에서 공개된 공격 코드가 기본 설정의 PHP에는 통하지 않았다고 했다. 샌섹은 대규모 공격 가능성도 공개 당일 예상보다 낮다며, 온라인 상점을 닫을 필요는 없지만 PHP는 고치라고 했다. 일본 관방장관도 22일 현재까지 피해 보고가 없다고 밝혔다. 공격이 예상보다 어렵다 해도, 취약한 서버를 고치려면 어디에서 PHP가 돌아가는지부터 알아야 한다.

배경훈 부총리 겸 과기정통부 장관은 22일 기업에 낸 당부에서 "수동 점검 후 수일 내 패치라는 통상적 취약점 관리 주기로는 공격을 방어할 수 없으며" 자동화된 대응 체계가 필수라고 했다. 배 부총리는 23일 국정감사에서 범부처 종합대책과 관련 조직 구성 방안을 검토하고 있다며 "조만간 발표하겠다"고 말했다. 공공기관의 PHP 현황은 이번 한 번만 필요한 숫자가 아니다. KISA 대응 수칙에 따르면 PHP 8.2의 보안 지원은 올해 12월 31일에 끝난다. KISA는 이번에 8.2.35로 고친 서버도 8.3 이상으로 옮기라고 권했다.