[한국Q뉴스] 경기도의회 윤도희 의원은 9일 열린 제395회 제1차 미래과학협력위원회 AI국 행정사무감사에서 PHP 보안 취약점 대응 실태를 점검하고 집행부가 차단했다고 답한 공공서비스에 직접 접속이 되는 점을 지적하며 도 자료에 중단 대상으로 제시된 8곳의 재점검과 실제 조치·재점검 결과 제출을 요구했다.

윤 의원은 “홈페이지를 만드는 데 쓰이는 PHP에서 보안 취약점이 발견돼 정부가 사이버 위기경보를 상향했다”며 “이 취약점을 악용하면 공격자가 로그인 없이 외부에서 서버 명령을 실행할 수 있다”고 위험성을 짚었다.

경기도가 제출한 ‘도내 PHP 보안 취약점 관리 현황’에는 광명장애인보호작업장, 광주시 강우정보시스템, 안성시 주정차단속, 양평문화재단 홈페이지, 용인시 e북, 화성시건강복지센터, 성남시 시니어산업혁신센터, 시흥시 도서관 좌석예약시스템 등 8곳이 중단 대상 서비스로 제시돼 있다.

재개는 패치 업데이트 이후인 11월 말에서 내년 사이로 예정돼 있다.

그러나 윤 의원이 이들 서비스의 차단 여부를 묻자 AI인프라과장은 “지금 차단됐다”고 답했고 윤 의원은 “제가 들어가 보니 다 접속된다”며 답변과 실제가 다르다고 지적했다.

이어 서비스별로 외부 접속이 실제로 차단됐는지 다시 점검해 확인하라고 요구했다.

같은 자료에 따르면 도내 전체 시스템 1247개 가운데 PHP를 쓰는 시스템은 411개, PHP 취약점은 396개였다.

이 중 조치는 198개, 미조치는 197개로 여전히 절반가량이 미조치 상태다.

소관별로는 도 본청이 23개 중 4개, 도 공공기관이 74개 중 30개, 시군이 299개 중 163개를 조치하지 못해 시군의 미조치 비율이 54.5%로 가장 높았다.

‘조치’로 집계된 198개도 모두 취약점을 고친 것은 아니다.

경기도는 10월 22일부터 11월 7일까지 한국인터넷진흥원 대응수칙 중 소스코드 적용 등 임시 조치, 외부 서비스 차단, 버전 업데이트를 묶어 조치 실적으로 집계했다.

운영 중인 서버 버전이 낮아 패치 업데이트가 바로 안 되는 시스템은 대응수칙만 적용한 채 운영하고 있다.

이 같은 집계 방식은 앞서 10월 27일 기준 자료에서도 나타났다.

당시 경기도는 취약 시스템 380개 중 169개를 ‘조치 완료’로 분류했지만 여기에도 임시 조치가 포함돼 있었다.

윤 의원이 실제로 취약점을 해소하고 재점검까지 마친 시스템이 몇 개인지 묻자 과장은 즉답하지 못했다.

윤 의원은 시스템별 해소 여부와 재점검 일자, 임시 차단 사유, 중단 서비스의 재개 여부를 서면으로 제출하고 미조치 시스템은 기관별 담당과 완료 기한, 기한 경과 시 후속 조치 책임자를 명시하라고 요구했다.

미조치 시스템에 대한 대책도 보이지 않았다.

윤 의원이 미조치 197개 가운데 조치할 수 있는 것과 없는 것이 각각 얼마나 되는지 묻자, 과장은 “현재로서는 조치할 방법이 없는 것으로 알고 있다”며 “KISA 등에서 방법을 찾고 있어 변동은 있을 수 있지만 현 시점에서는 안 된다고 통보받은 상태”고 답했다.

윤 의원이 “그렇다면 왜 8곳만 중단 대상으로 했느냐”고 묻자, 과장은 “일단 권고로 차단하거나 중지하라고 한 것이고 계속 진행하고 있다”고 답했다.

윤 의원은 “PHP 취약점 문제는 상당히 심각해 해외에서는 예방 차원에서 정부 사이트나 병원 웹사이트를 아예 차단하기도 한다”며 “우리도 국가정보원이 지자체에 긴급 보안 점검을 요청한 상황”이라고 강조했다.

이어 “정말 조치할 수 없다면 경고를 하는 등 대책을 시급히 마련해야 한다”고 주문했고 과장은 “행정안전부, 국가정보원과 계속 협의하며 조치 방법을 강구하겠다”고 답했다.

예산 대책도 마련되지 않았다.

과장은 “본예산은 이번 사건이 나오기 전 기존 기준으로 편성했다”고 답했다.

경기도는 PHP 취약점 해소에 약 29억 3500만원이 들 것으로 제시했지만, 이는 광명시 일자리종합전산프로그램 전환 비용 한 건을 미조치 197개에 그대로 적용한 추정치다.

과장도 “사례 하나를 가지고 산출한 것”이라고 인정했다.

윤 의원은 “결국 지금으로서는 예산이 있어도 기술적으로 해결하기 어렵다는 말씀 아니냐”고 되물었다.

윤 의원은 “새 취약점이 알려졌을 때 어느 기관이 어떤 버전을 쓰는지 바로 알아야 신속하게 대응할 수 있다”며 “취약점을 실제로 고쳤는지, 서비스가 안전하게 재개됐는지까지 확인해야 한다”고 강조했다.