[PEDIEN] 경기도의회 윤도희 의원은 9일 열린 제395회 제1차 미래과학협력위원회 AI국 행정사무감사에서 심각한 PHP 보안 취약점 대응 실태를 점검하고, 집행부가 차단했다고 답변한 공공서비스에 직접 접속이 가능하다는 점을 지적했다. 이에 윤 의원은 도 자료에서 중단 대상으로 제시된 8곳에 대한 재점검과 실제 조치 및 재점검 결과 제출을 강력히 요구했다.
윤 의원은 "홈페이지 제작에 널리 쓰이는 PHP에서 심각한 보안 취약점이 발견되어 정부가 사이버 위기경보를 상향했다"며, "이 취약점을 악용하면 공격자가 별도의 로그인 없이 외부에서 서버 명령을 임의로 실행할 수 있다"고 위험성을 강조했다.
경기도가 제출한 '도내 PHP 보안 취약점 관리 현황'에 따르면, 광명장애인보호작업장, 광주시 강우정보시스템, 안성시 주정차단속, 양평문화재단 홈페이지, 용인시 e북, 화성시건강복지센터, 성남시 시니어산업혁신센터, 시흥시 도서관 좌석예약시스템 등 총 8곳이 중단 대상으로 제시되었다. 이들 서비스의 재개는 패치 업데이트 이후인 오는 11월 말에서 내년 사이로 예정되어 있었다.
하지만 윤 의원이 이들 서비스의 차단 여부를 직접 확인한 결과, AI인프라과장의 '지금 차단됐다'는 답변과 달리 직접 접속이 가능한 것으로 드러났다. 윤 의원은 "제가 들어가 보니 다 접속된다"며 답변과 실제 상황이 다르다고 지적했고, 서비스별로 외부 접속이 실제로 차단되었는지 다시 점검해 확인할 것을 요구했다.
같은 자료에 따르면, 도내 전체 시스템 1247개 중 PHP를 사용하는 시스템은 411개였으며, 이 중 PHP 취약점은 396개에 달했다. 조치가 완료된 시스템은 198개였으나, 미조치 상태인 시스템은 197개로 여전히 전체의 절반가량이 보안 조치가 이루어지지 않은 상태였다. 소관별로는 도 본청이 23개 중 4개, 도 공공기관이 74개 중 30개, 시군이 299개 중 163개를 조치하지 못해 시군의 미조치 비율이 54.5%로 가장 높았다.
더욱이 '조치'로 집계된 198개 시스템 역시 취약점을 완전히 수정한 것은 아니었다. 경기도는 지난 10월 22일부터 11월 7일까지 한국인터넷진흥원의 대응수칙에 따라 소스코드 적용 등 임시 조치, 외부 서비스 차단, 버전 업데이트를 포괄하여 조치 실적으로 집계했다. 운영 중인 서버 버전이 낮아 패치 업데이트가 즉시 불가능한 시스템은 대응수칙만 적용한 채 운영 중인 것으로 나타났다. 이는 지난 10월 27일 기준 자료에서도 유사하게 나타났는데, 당시 취약 시스템 380개 중 169개를 '조치 완료'로 분류했으나 여기에도 임시 조치가 포함되어 있었다.
윤 의원이 실제로 취약점을 완전히 해소하고 재점검까지 마친 시스템이 몇 개인지 묻자, AI인프라과장은 즉답하지 못했다. 윤 의원은 시스템별 해소 여부, 재점검 일자, 임시 차단 사유, 중단 서비스의 재개 여부를 서면으로 제출하고, 미조치 시스템에 대해서는 기관별 담당과 완료 기한, 기한 경과 시 후속 조치 책임자를 명시하라고 요구했다.
미조치 시스템에 대한 대책 또한 부재했다. 윤 의원이 미조치 197개 중 조치 가능한 것과 불가능한 것이 각각 얼마나 되는지 묻자, 과장은 "현재로서는 조치할 방법이 없는 것으로 알고 있다"며 "KISA 등에서 방법을 찾고 있어 변동은 있을 수 있지만, 현 시점에서는 안 된다고 통보받은 상태"라고 답했다. 이에 윤 의원은 "그렇다면 왜 8곳만 중단 대상으로 했느냐"고 질책했고, 과장은 "일단 권고로 차단하거나 중지하라고 한 것이고 계속 진행하고 있다"고 답했다.
윤 의원은 "PHP 취약점 문제는 상당히 심각하며, 해외에서는 예방 차원에서 정부 사이트나 병원 웹사이트를 아예 차단하기도 한다"며, "우리도 국가정보원이 지자체에 긴급 보안 점검을 요청한 상황"이라고 강조했다. 이어 "정말 조치할 수 없다면 경고를 하는 등 대책을 시급히 마련해야 한다"고 주문했고, 과장은 "행정안전부, 국가정보원과 계속 협의하며 조치 방법을 강구하겠다"고 답했다.
예산 대책 마련도 미흡했다. 과장은 "본예산은 이번 사건이 나오기 전 기존 기준으로 편성했다"고 밝혔다. 경기도는 PHP 취약점 해소에 약 29억 3500만원이 소요될 것으로 추정했으나, 이는 광명시 일자리종합전산프로그램 전환 비용 한 건을 미조치 197개에 그대로 적용한 단순 추정치였다. 과장 역시 "사례 하나를 가지고 산출한 것"이라고 인정했다. 윤 의원은 "결국 지금으로서는 예산이 있어도 기술적으로 해결하기 어렵다는 말씀 아니냐"고 되물었다.
윤 의원은 "새로운 취약점이 알려졌을 때 어느 기관이 어떤 버전을 쓰는지 즉시 파악해야 신속하게 대응할 수 있다"며, "취약점을 실제로 고쳤는지, 서비스가 안전하게 재개되었는지까지 철저히 확인해야 한다"고 강조하며 철저한 점검과 대책 마련을 촉구했다.
저작권자 © PEDIEN 무단전재 및 재배포 금지
