[사설] 전 세계 인터넷 PHP 해킹 비상

각종 홈페이지나 온라인 쇼핑몰 게시판 등 다양한 웹사이트를 만드는 데 사용되는 프로그래밍 언어인 PHP에 보안 비상이 걸렸다. 웹사이트를 가게에 비유하면 손님의 주문을 받아 물건을 내주고 장부에 기재하는 역할을 하는 PHP에 문제가 생긴 셈이다. 무료 오픈소스 소프트웨어다 보니 전 세계 PC나 스마트폰 사이트의 70%가량이 PHP를 사용한다. 보안 비상으로 각국 기업과 은행, 정부기관 등이 긴급 대응에 나선 이유다.

이번에 발견된 취약점은 웹 애플리케이션의 구현 코드와 관계없이 PHP 엔진 자체의 결함으로 발생한다는 점에서 위험하다. 홈페이지 프로그램을 안전하게 만들었어도 영향을 받을 수 있다는 의미다. 공격자가 아이디나 비밀번호 없이 인터넷을 통해 특수하게 조작된 요청을 보내 서버에 원하는 명령을 실행하게 만들 수 있기 때문이다. 특히 보안 인력 부족으로 외주 업체에 홈페이지 관리를 맡긴 중소기업의 경우 해킹 위험에 노출될 수 있는 상황이다.

정부는 공격 코드까지 이미 공개된 만큼 매우 시급한 대응을 주문한 상태다. 보안 기업들은 웹사이트 주소(URL) 입력만으로 취약점의 영향 여부를 점검할 수 있는 무료 온라인 서비스에 들어갔다. 일반 PC도 백신 설치나 보안 업데이트를 해야 한다. 하지만 업데이트 담당자가 불분명하거나 오래된 PHP 버전을 사용하는 경우 대응이 지연될 수 있다. 국내 PHP 서버 10대 중 9대는 보안 업데이트를 할 수도 없는 옛 버전을 사용 중이다.

10년 만에 발견된 이번 취약점을 찾은 것은 인공지능(AI)이다. 글로벌 사이버 보안업체 칼리프가 오픈AI의 글로벌 취약점 대응 프로그램으로 찾아낸 것이다. 사용한 AI는 GPT 5.6 Sol이다. 구글 계열 보안업체도 별도 연구를 통해 취약점을 발견했을 정도다. AI 성능 향상으로 향후 보안 결함이 발견될 가능성도 크다는 뜻이다. 국가 차원에서 보안 시스템을 재정비하는 계기로 삼을 때다.

코스닥 시장 체질 개선을 위한 승강제가 내년 시행을 앞두고 있다. 코스닥 상장체계를 프리미엄과 스탠더드 그리고 관리군으로 재편하고 기업을 평가해서 시장을 이동시키겠다는 게 정부의 방침이다. 상위 세그먼트 관련 지수와 상장지수펀드(ETF)를 통해 투자 접근성과 자금 유입을 높이기 위해서다. 향후 세부 편입 기준과 승강 요건 등을 얼마나 치밀하게 만들 수 있는가에 제도의 성패가 달린 셈이다.

지난 5월 만든 동전주나 완전 자본잠식 기업의 상장폐지 기준도 마찬가지다. 코스닥 시가총액 기준도 지난 7월 150억 원에서 200억 원으로 높인 데 이어 내년 7월 300억 원으로 올릴 예정이다. 관리종목 지정 이후 90거래일 동안 45거래일 연속으로 기준 시가총액을 유지해야 하는 규정도 만들었다. 일시적인 주가 끌어올리기로 퇴출을 피하는 꼼수를 막으려는 조치다. 다양한 기준으로 상장 유지 여부를 판단하겠다는 취지다.

하지만 해외 거래소의 경우 기준에 미달한 기업에도 개선계획 제출이나 심사 등의 절차를 통해 상장 적격성을 회복할 기회를 부여하고 있다. 뉴욕증권거래소나 나스닥은 상장 유지 기준에 미달한 기업에 대해 45일 이내에 기준을 회복하기 위한 사업계획 제출 기회를 주는 게 특징이다. 도쿄증권거래소도 시장성이나 재무건전성을 기준으로 상장 유지 여부를 심사한다. 기준에 미달한 기업에 대해서는 3개월 내 개선계획 공시와 1년간 개선 기간을 부여한다. 시총 미달 기업에 개선 기간을 주지 않는 국내와 다르다.

우량기업과 부실기업 간 옥석 가리기를 목적으로 만든 승강제도 마찬가지다. 도쿄증권거래소의 경우 2022년에 프라임·스탠더드·그로스 등 3개 시장으로 개편했다. 프라임 시장에는 시가총액 증가와 외국인 순매수가 몰렸으나 스탠더드와 그로스 시장은 반대였다. 시장 구분이 기업에 대한 낙인효과만 줘서는 곤란하다. 자금 유입을 뒷받침할 제도적 보완과 장기간 투자금이 머물 수 있도록 하는 게 중요해진 이유다.