웹사이트 제작 프로그래밍 언어 'PHP'에서 보안 취약점 발견된 가운데 공공부문 안에서도 기관별로 위험 노출 정도가 갈리는 것으로 드러났다. /그래픽=신재민 편집위원


전 세계 웹사이트에 널리 쓰이는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견된 가운데 공공부문 PHP 정보시스템 10개 중 7개가 지방에 집중된 것으로 나타났다. 기초자치단체와 교육지원청은 국가정보원의 정기 사이버보안 실태평가 대상에서도 빠져 있다. 전문가들은 취약한 웹서버가 내부 행정망과 연결돼 있다면 추가 침해로 이어질 수 있다고 경고했다.

PHP 개발진은 지난 21일(현지시각) 인증 없이 서버에서 원격으로 코드를 실행할 수 있는 취약점 2건(CVE-2026-109618, CVE-2026-109619)을 고친 보안 업데이트를 발표했다. 두 취약점의 위험도는 10점 만점에 각각 9.2점이다. PHP는 워드프레스 등 웹사이트 제작·운영 도구에 쓰이는 프로그래밍 언어다. 웹 기술 분석업체 W3Techs는 서버 측 프로그래밍 언어를 확인할 수 있는 웹사이트의 69.3%가 PHP를 사용한다고 분석했다.



행정안전부는 정부 정보시스템 상당수가 자바 기반 전자정부 표준프레임워크를 활용해 이번 취약점의 영향이 제한적이라는 입장이다. 하지만 공공부문 전체로 범위를 넓히면 중앙과 지방의 차이가 뚜렷하다. 지난 13일 수정된 행안부 '행정 및 공공기관의 정보자원 현황 통계'에 따르면 지난해 공공 정보시스템 1만5618개 중 PHP를 개발언어로 쓰는 시스템은 1027개(6.58%)다. 중앙행정기관은 1844개 중 44개(2.39%)였지만 광역자치단체는 6.31%, 기초자치단체는 8.52%였다. 지방교육자치단체는 22.30%로 5개 중 1개 이상이 PHP 시스템이었다.

지방자치단체와 지방교육자치단체는 전체 정보시스템의 53.1%를 운영하지만 PHP 시스템의 70.7%가 이들 기관에 몰려 있다. 기초자치단체의 PHP 시스템만 519개로 전체의 절반을 넘는다. 다만 이 수치는 PHP 사용 현황으로, 이번 취약점에 실제 노출된 시스템 수는 아니다.

개발환경도 차이가 있었다. 개발프레임워크를 적용한 시스템 중 전자정부 표준프레임워크 사용 비율은 중앙행정기관 81.32%, 광역자치단체 69.01%, 기초자치단체 46.67%였다. 이는 전체 시스템을 분모로 한 PHP 사용률과 집계 기준이 다르다.



곽진 아주대 사이버보안학과 교수는 이를 "표준프레임워크라는 울타리가 미치지 못하는 영역에 레거시 PHP 시스템이 유지되고 있는 구조"라고 진단했다. 이어 "기초지자체로 갈수록 PHP 사용 비중은 높아지는 반면 이를 즉각 식별해 패치하고 서비스를 재시작할 전담 보안 인력과 예산은 중앙정부에 비해 상대적으로 부족하다"고 말했다.

내부망 침투 위험도 제기됐다. 곽 교수는 "공공기관은 원칙적으로 망분리가 적용돼 있지만 대민 웹서버와 내부 행정이 연동되는 구간, 방화벽 정책에 허점이 있으면 장악된 PHP 서버를 거점 삼아 지자체 내부 행정망이나 통합전산망으로 침투하는 지점이 될 수 있다"고 지적했다.

보안관리 의무와 평가 범위 사이에도 간극이 있다. 국정원 기본지침은 정보화 업무 인력의 10% 이상을 사이버보안 인력으로 운영하도록 규정하지만 정기 실태평가는 중앙부처와 광역지자체 등 153곳을 대상으로 한다. 정부는 기초자치단체 226곳과 교육지원청 176곳을 2028년에야 평가 대상에 포함할 예정이다. 개인정보보호위원회의 공공기관 개인정보 보호수준 평가에서도 기초자치단체는 2년 연속 기관 유형 중 최하위였다. 평균 점수는 2024년 74.8점에서 지난해 73.2점으로 떨어졌다.

곽 교수는 "공식 보안 지원이 종료된 구버전을 방치한 지자체 시스템이 공격자의 1차 표적이 될 위험이 크다"며 "가장 시급한 것은 단순 패치 공문 하달이 아니라 외주 발주를 통해 만들어 두고 제대로 파악하지 못한 숨어 있는 PHP 자산(Shadow IT)을 빠르게 전수 조사하는 것"이라고 강조했다. 이어 "보안 지원이 종료된 PHP 8.1 이하 구버전 시스템은 임시 완화 조치를 적용한 뒤에 빠르게 표준프레임워크나 상위 버전으로 통폐합하는 방안이 필요하다"고 덧붙였다.