PHP 취약점 늑장 대응 지적…"위기의식 공감…근본 대책 필요"
KISA "공공기관은 PHP 거의 안 써…취약 버전 파악은 안 돼"
(서울=연합뉴스) 이동해 기자 = 배경훈 부총리 겸 과학기술정보통신부 장관이 6일 국회에서 열린 과학기술정보방송통신위원회 국정감사에서 의원 질의에 답하고 있다. 2026.10.6 eastsea@yna.co.kr
(서울=연합뉴스) 권하영 기자 = 배경훈 부총리 겸 과학기술정보통신부 장관이 최근 전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어 'PHP'에서 심각한 보안 취약점이 발견된 것과 관련해 범부처 차원의 종합대책을 마련하겠다고 했다.
배경훈 부총리는 23일 서울 여의도 국회에서 열린 과학기술정보방송통신위원회 종합감사에서 "사이버 보안 컨트롤타워 체계를 정비해야 한다는 지적에 깊이 공감한다"며 "국가안보실 중심 대응을 넘어 범부처 차원의 종합대책과 관련 조직 개편을 검토하고 있다"고 말했다.
또한 "PHP 문제를 넘어 근본적인 대책을 수립할 필요가 있다고 생각한다"며 조만간 관련 방안을 보고하겠다고 밝혔다.
의원들은 미국·일본·중국 등 주요국이 패치 불가 시스템에 대한 오프라인 전환이나 접속 차단까지 권고하며 더 빠르게 움직인 반면, 한국은 각 기관의 자율 조치에 맡기는 '주의' 단계에 그쳤다며 대응 속도가 안일하다고 질타했다.
서천호 국민의힘 의원은 국내 웹사이트의 약 80%가 PHP를 사용하고 있어 해외 평균(약 70%)보다 의존도가 높다고 지적하며, 로그인 없이도 서버 장악이 가능한 이번 취약점이 국가 안보와 직결된다고 지적했다.
최우혁 정보보호네트워크정책실장은 "PHP재단 발표 당일인 지난 21일 밤 11시 20분 보안 공지를 내렸고, 다음 날 사이버 위기경보를 '관심'에서 '주의'로 격상해 정보보호최고책임자(CISO) 2만8천명과 주요 기반시설 111곳 등에 패치를 요청했다"고 설명했다.
한준호 더불어민주당 의원은 위기경보 발령 여부보다 실제 취약한 공공 시스템을 얼마나 신속히 파악하고 보호했는지가 중요하다고 짚었다.
이상중 한국인터넷진흥원(KISA) 원장은 "공공행정기관은 대부분 PHP를 사용하지 않는 것으로 알고 있다"면서도 "취약한 PHP 버전 보유 현황과 패치 완료율은 아직 파악되지 않았으며 현행 규정상 KISA가 직접 시스템을 스캐닝할 권한은 없다"고 답했다.
kwonhy@yna.co.kr