전 세계 웹 흔든 PHP 결함…교육 현장 보안은? / EBS뉴스 2026. 10. 28

https://home.ebs.co.kr/ebsnews/menu2/newsVodView/evening/60784280/H?eduNewsYn=#none

[EBS 뉴스]
전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견됐습니다.

해커가 별도의 로그인 없이도 서버에 침입할 수 있는 결함인데요.

학교와 대학 홈페이지도 예외가 아닌 만큼, 교육 현장의 보안 대책이 중요해지고 있습니다.

먼저 영상 보고 오겠습니다.

[VCR]

전 세계 웹사이트 70% 이상 사용
프로그래밍 언어 PHP서 중대 결함

긴급 패치 뒤에도 추가 결함 공개
민간 사이버위기 경보 '주의'로 상향

교육부도 학교·대학에
"즉시 보안 업데이트" 권고

PHP 웹 보안 경고.…
교육 현장 대응은?




-----




이혜정 앵커
이번 취약점 발견에는 인공지능 기술도 활용됐습니다.

AI가 보안 결함을 찾아내는 속도가 빨라지는 가운데, 우리 교육 현장은 얼마나 준비돼 있을까요?

중부대학교 소프트웨어공학부 김성규 교수와 자세히 알아보겠습니다.

교수님, 어서 오세요.

지난주에 PHP 보안 취약점 때문에 국내외가 떠들썩했습니다.

먼저 PHP라는 용어부터 생소한 분들이 많을 텐데요.

어떤 기술이고, 이번에 발견된 보안 취약점은 무엇인지 쉽게 설명 부탁드립니다.

김성규 교수 / 중부대학교 소프트웨어공학부
우선 PHP는 전 세계 수많은 웹사이트와 서버를 만드는 데 가장 널리 쓰이는 프로그래밍 언어 중 하나입니다.

우리가 자주 접하는 워드프레스 기반의 홈페이지나 다양한 웹 서비스의 뼈대를 이루고 있죠.

이번에 문제가 된 것은 홈페이지 한 곳의 실수가 아니라, 많은 홈페이지가 공통으로 사용하는 PHP 자체에서 발견된 보안 취약점 두 건입니다.

흔히 'PHP투셸'이라고 부르는데요.

특정한 조건에서 공격자가 정상적인 로그인 절차를 거치지 않고도 인터넷을 통해 서버에 악성 명령을 실행할 수 있는 문제입니다.

한마디로 '디지털 문의 잠금장치에 치명적인 설계 결함이 생긴 것'입니다.

해커가 정상적인 열쇠 없이도 웹사이트의 관리자 권한이나 시스템 내부로 곧바로 들어갈 수 있는 문이 몰래 열려버린 격인데요.

특히 웹 서버로 들어오는 입력값을 처리하는 과정에서 특수한 문자열을 걸러내지 못해, 외부에서 서버 제어권을 통째로 빼앗길 수 있는 아주 위험한 허점이 발견된 것입니다.

이혜정 앵커
로그인 없이도 서버에 악성 명령을 내릴 수 있다는 건데요.

보안 심각도도 10점 만점에 9.2점으로 평가됐습니다.

실제 어떤 피해로 이어질 수 있습니까?

김성규 교수 / 중부대학교 소프트웨어공학부
보안 업계에서 CVSS(취약점 심각도 지수) 9.2점이라는 것은 '최상급의 재앙 수준'을 의미합니다.

말씀하신 대로 로그인을 거칠 필요조차 없기 때문에, 공격자는 인터넷을 통해 취약한 서버에 접속하자마자 서버의 모든 권한을 획득할 수 있습니다.

이렇게 되면 사이트 화면을 임의로 변조하거나, 웹서버 내부에 저장된 회원들의 대규모 개인정보, 주민등록번호, 비밀번호 등을 무단으로 유출할 수 있습니다.

더 무서운 것은 이 서버가 악성코드 유포를 위한 경유지로 악용되거나, 랜섬웨어에 감염되어 시스템 전체가 완전히 마비되는 치명적인 2차 피해로 이어질 수 있다는 점입니다.

이혜정 앵커
우리 정부도 지난주 민간 사이버위기 경보를 '관심'에서 '주의'로 한 단계 올렸고, 유럽과 일본 등에서는 정부기관 홈페이지를 아예 닫는 일까지 있었습니다.

다른 보안 사고와 비교해 이번 사안은 왜 이렇게 크게 다뤄지는 걸까요?

김성규 교수 / 중부대학교 소프트웨어공학부
네, 좋은 질문이십니다.

가장 큰 이유는 '파급력의 광범위성과 무차별성'때문입니다.

일반적인 해킹 사고는 특정 기업이나 특정 시스템의 보안 설정 미흡이 원인인 경우가 많습니다.

하지만 이번 취약점은 PHP라는 언어 자체의 근본적인 구조적 결함에서 비롯되었습니다.

즉, 웹사이트를 만든 개발자의 실수가 아니라, 사용하는 기반 도구 자체에 결함이 생긴 것입니다.

이 때문에 전 세계 수백만 개의 기업, 공공기관, 교육기관 홈페이지가 동시에 무방비 상태에 노출되었습니다.

해외에서는 실제로 공공기관이나 정부 포털이 해킹 공격의 표적이 되어 선제적으로 사이트를 폐쇄하거나 긴급 차단하는 사태가 벌어졌고, 이에 정부도 위기경보를 '주의' 단계로 상향하며 기민하게 대응하고 있는 것입니다.

이혜정 앵커
이번 취약점 발견에는 AI 기술도 활용됐습니다.

AI가 보안 결함을 찾아내는 시대가 왔다는 점에서 어떤 변화가 있을까요?

김성규 교수 / 중부대학교 소프트웨어공학부
매우 날카로운 지적이십니다.

이번 사태는 '사이버 보안의 패러다임이 완전히 바뀌었음'을 보여주는 상징적인 사건입니다.

공격자 입장에서 AI는 '초인적인 해킹 도구'입니다.

사람이 수개월 동안 소스코드를 뒤져야 찾아낼까 말까 한 제로데이(0-day) 취약점을, AI는 방대한 코드를 순식간에 분석해 단 몇 분 만에 찾아내고 최적의 공격 코드를 만들어낼 수 있습니다.

반대로 방어하는 입장에서도 이제 AI 도입은 선택이 아닌 필수가 되었습니다.

인간의 손길이 미치지 못하는 방대한 인프라의 취약점을 AI 기반의 방어 시스템이 먼저 탐지하고 실시간으로 패치해야만, AI를 앞세운 고도화된 사이버 공격으로부터 생존할 수 있는 시대가 되었습니다.

이혜정 앵커
최근 연세대 포털 해킹으로 1만여 명의 개인정보가 유출되는 사고가 있었습니다.

연세대는 이번 PHP 결함과 직접적인 관련은 없다라고 밝히기는 했는데, 학교와 대학의 보안 수준은 어떻게 평가하십니까?

김성규 교수 / 중부대학교 소프트웨어공학부
솔직히 말씀드리면, '결코 안전하다고 장담할 수 없으며, 오히려 매우 취약한 사각지대에 놓여 있다'고 평가해야 합니다.

대학이나 각급 교육기관은 연구 데이터, 학생 및 교직원의 민감한 개인정보, 학사 관리 시스템 등 해커들이 노릴 만한 가치 있는 자산이 집중되어 있는 곳입니다.

하지만 대기업이나 금융권에 비해 상시 보안 관제 예산이나 전문 인력이 턱없이 부족한 실정입니다.

특히 학과 홈페이지, 연구실 사이트, 동아리 페이지 등은 외부 업체나 학생들이 과거에 만들어 놓고 방치해 둔 경우가 많아, 이번 PHP 취약점 같은 구조적 문제가 터졌을 때 가장 먼저 취약하고 위험이 큰 곳이 바로 교육 현장입니다.

이혜정 앵커
학생과 교직원의 개인정보를 지키는 게 가장 시급한데, 지금 당장 무엇부터 점검해야 하는 걸까요?

김성규 교수 / 중부대학교 소프트웨어공학부
가장 먼저 해야 할 일은 '전수조사를 통한 자산 식별과 긴급 패치'입니다.

첫째로 사용 중인 PHP 버전 확인 및 업데이트이고 현재 운영 중인 모든 웹서버의 PHP 버전을 확인하고, 보안 패치가 적용된 최신 버전으로 즉시 업그레이드해야 합니다.

둘째로 방치된 웹사이트(Shadow IT) 폐쇄 및 차단하고 관리되지 않고 방치된 오래된 홈페이지나 테스트용 서버는 즉시 외부 접속을 차단하거나 폐쇄해야 합니다.

해커들은 정문이 아니라 관리가 소홀한 쪽문으로 들어오기 때문입니다.

셋째로 접근 통제 강화하는 관리자 페이지나 데이터베이스 접근 경로에 대해 IP 차단 및 다중 인증(MFA)을 걸어두는 최소한의 방어 조치를 지금 당장 실행해야 합니다.

이혜정 앵커
마지막으로, 보안 업데이트를 마쳤다고 안심할 수는 없다는 지적도 있습니다.

앞으로 교육 현장의 보안 체계는 어떻게 바뀌어야 한다고 보십니까?

김성규 교수 / 중부대학교 소프트웨어공학부
매우 중요한 지적입니다.

문을 고쳤다고 해서 이미 침입해 숨어 있는 도둑을 잡은 것은 아니기 때문입니다.

업데이트를 완료했더라도, 그 이전에 이미 공격자가 침투해 웹셸(Web Shell) 같은 백도어를 심어두었을 가능성이 있습니다.

따라서 웹서버 로그 분석과 무결성 검사를 통해 과거 침투 흔적이 있는지 반드시 포렌식 관점에서 점검해야 합니다.

중장기적으로 교육 현장의 보안 체계는 일회성 점검에서 벗어나야 합니다.

첫째, 통합된 상시 취약점 점검 체계를 갖추고, 둘째, 예산과 인력이 부족한 교육기관의 특성을 고려해 유관 기관이나 전문 보안 업체의 클라우드 기반 통합 관제 서비스(MSSP)를 적극 도입해 전문성을 보완하는 방향으로 근본적인 체질 개선이 이루어져야 합니다.

이혜정 앵커
업데이트로 문을 고쳤더라도, 이미 숨어든 침입 흔적까지 살펴야 한다는 말씀이었습니다.

AI 시대에 맞춰 교육 현장의 보안 체계도 한층 강화돼야겠죠.

교수님, 오늘 말씀 잘 들었습니다.