"알면서도 손 못 대는 시한폭탄"…중소 IT현장 발 동동 구르는 이유[긴급진단-PHP 버그 비상②]

24시간 서비스 멈출 수 없어…최신 버전 호환 안돼 '먹통' 우려
외주 개발사 폐업·담당자 부재로 구형 코드 수정 불가능한 '코드 고아' 속출
"경고만 말라"…보안 사각지대 중소기업에 '24시간 긴급 지원' 시급

[서울=뉴시스] 사진은 기사의 이해를 돕기 위한 이미지. (사진=유토이미지) 2026.10.10. photo@newsis.com *재판매 및 DB 금지

[서울=뉴시스]박은비 기자 = "심각한 취약점이라는 건 알겠는데 그렇다고 당장 서비스를 멈출 수가 없습니다. 답답하네요."

어느 중소기업 정보기술(IT) 부서 관계자의 하소연이다. 웹 프로그래밍 언어 'PHP'에서 치명적인 보안 결함이 발견되면서 정부와 보안업계가 긴급 대응 총력전을 펼치고 있다. 하지만 일선 현장에선 보안 패치를 바로 적용하지 못하는 사업장이 부지기수다.

사이버 공격이 시작되면 그 피해 규모가 예상 외로 상당할 수 있다고 전문가들이 경고하는 이유다.

웹 기술 통계 서비스 W3테크스에 따르면 한국에 서버를 둔 웹사이트의 82.7%가 PHP를 사용하는 것으로 집계됐다. 전 세계 평균 사용률(69.3%)을 훨씬 상회하는 수치다.

여기에는 인터넷 쇼핑몰, 중소기업, 소상공인도 상당수 포함됐다. 구축 비용이 저렴하고 빠르게 사이트를 만들 수 있다는 장점 때문이다.

"수정할 개발자도 없다"…외주 업체 폐업에 '코드 고아' 전락

전문가들 "정부 단순 경보 넘어 노후 시스템 교체 등 실질 지원 나서야"

[세종=뉴시스] 배훈식 기자 = 배경훈 부총리 겸 과학기술정보통신부 장관이 PHP 점검과 보안 업데이트를 당부한 22일 오후 세종시 정부세종청사 과기정통부 사이버침해대응과 모습. 정부는 이날 낮 12시부터 민간 분야 사이버위기 경보를 '관심'에서 '주의' 단계로 격상했다. 2026.10.22. dahora83@newsis.com

가장 큰 문제는 구형 PHP를 사용하는 서비스가 많다는 점이다. PHP 8.1 이하 버전은 공식 지원이 종료돼 최신 보안 패치를 받을 수 없다.

미국 사이버보안 스타트업 맬러리에 따르면 전 세계 인터넷 노출 서비스 중 PHP 8.1 이하 버전의 비중은 73.5%에 달한다. 이들 중 일부 운영체제 배포판이나 상용 공급 업체가 별도 보안 패치를 제공하기도 하지만, 이를 적용하기 어려운 사업자들은 취약점에 그대로 노출될 수밖에 없다.

별도 패치를 적용할 수 없다면 지원이 유지되는 최신 버전으로 업그레이드해야 한다. 그러나 기존 코드가 새 버전과 호환되지 않을 경우 상당한 수정과 테스트가 필요해 현장에서 신속한 대응이 어렵다.

중견 IT 관리팀 관계자는 "구형 PHP를 상위 버전으로 옮기고 싶어도 코드가 최신 환경과 호환되지 않을 수 있다는 게 가장 큰 문제"라며 "업그레이드 과정에서 결제 시스템이나 회원 가입 페이지 등이 제대로 작동하지 않을 수 있어 선뜻 손을 대기 어렵다"고 말했다.

여기에 외주 개발 잔혹사가 더해진다. 수년 전 외주 업체에 맡겨 만든 웹사이트의 경우, 제작업체가 폐업했거나 프리랜서 개발자와 연락이 끊긴 곳이 수두룩하다.

자체적인 IT 인력이 없는 소상공인이나 중소기업은 코드 자체를 수정할 수 없는 '코드 고아' 상태에 방치된 셈이다.

24시간 쉬지 않고 돌아가는 인터넷 서비스 특성도 발목을 잡고 있다.

온라인 쇼핑몰이나 실시간 예약 플랫폼은 보안 업데이트를 위해 서버를 몇 분만 꺼두어도 즉시 영업 손실과 고객 불만이 터져 나온다. 리스크를 감수하고 서버를 멈출 엄두를 내지 못하는 이유다.

홍준호 성신여대 융합보안공학과 교수는 "단순히 특정 프로그래밍 언어의 결함이라기보다 국내 웹서비스 전반에 누적된 노후 시스템과 취약점 관리체계의 한계를 보여주는 사례가 될 것"이라고 진단했다.

이어 그는 "구형 PHP버전을 장기간 사용하거나 개발자가 퇴사해 유지 보수가 어려운 '코드 고아' 환경에서는 실제 패치 적용까지 상당한 시간이 소요될 수 있고, 공격자가 그 사이를 악용할 가능성이 높다"고 덧붙였다.

전문가들은 패치가 불가능한 사업장을 위한 맞춤형 긴급 지원과 장기적인 인프라 수술이 병행되어야 한다고 지적한다.

한국인터넷진흥원(KISA)과 보안업계는 무료 점검 서비스를 제공하고 있다. 패치를 당장 적용할 수 없다면 웹방화벽(WAF)을 통한 임시 공격 차단이라도 즉시 시행해야 한다고 권고한다.

권태경 연세대 정보보호대학원 교수는 "기업들은 항시 자사 시스템에 취약점이 존재할 수 있다는 전제로 대비해야 한다"며 "KISA 등 관련 기관이 중소기업을 신속히 돕는 일상적 대응 체계를 갖추는 것이 중요하다"고 강조했다.

외부에 노출된 웹서버 결함이 악용될 경우 단순한 홈페이지 변조에 그치지 않는다는 점을 기업 경영자들 스스로 인지해야 한다는 조언도 있다. 해커가 뚫고 들어온 문을 통해 개인정보를 빼돌리거나 악성코드를 깔아 내부 전산망 전체를 장악하는 2차 피해로 이어질 수 있기 때문이다.

홍준호 교수는 "중소기업 등 보안 역량이 부족한 조직에 대해서는 실질적인 기술지원 체계를 마련할 필요가 있다"며 "정부도 단순한 취약점 경보와 패치 권고를 넘어 노후 시스템의 교체 지원과 24시간 긴급 대응체계를 강화해야 한다"고 제언했다.

☞공감언론 뉴시스 silverline@newsis.com