PHP 보안 취약점에 국내 시스템 우려, 어디까지 점검해야 하나

과학기술정보통신부와 한국인터넷진흥원(KISA)은 10월 22일 PHP에서 심각한 보안 취약점 2건이 공개됐다며 긴급 업데이트와 기술적 조치를 당부했다.

취약점이 악용되면 원격 코드 실행이나 서비스 거부, 고객 정보 유출로 이어질 수 있다.

정부는 같은 날 낮 12시 민간 분야 사이버위기 ‘주의’ 경보를 발령했다.

국내 대기업을 비롯한 엔터프라이즈 영역에서는 자바(JAVA) 선호도가 높지만, 이를 국내 시스템 전반의 안전을 뜻한다고 볼 수는 없다.

PHP는 빠르고 유연하게 웹사이트를 구축할 수 있어 협력사가 제공하는 업무 기능이나 비핵심 사이트에 쓰이기도 한다.

부서별 홈페이지와 게시판·쇼핑몰, 관리 주체가 불분명한 외주 서비스까지 살펴야 하는 이유다.

미국은 즉시 업데이트할 수 없는 시스템을 오프라인으로 전환하라고 권고했고, 일본은 정부 부처 웹페이지와 은행 서비스 접속을 일부 중단했다.

프랑스 보안기업 시벨앙젤이 10월 21일(현지시간) 공개한 분석에서는 PHP가 노출된 서버가 전 세계 약 224만대로 집계됐다.

한국에서는 업데이트 지원이 종료된 PHP 8.1 이하 버전을 사용하는 인터넷 연결 서버가 2만4500여대로, 버전이 확인된 국내 PHP 서버의 82%에 해당했다.

대응 인력이 부족한 중소기업 서버도 포함됐을 가능성이 제기됐다.

점검은 대표 홈페이지나 핵심 시스템에 한정하지 않고 협력사·외부 호스팅, 유지보수 계약이 끝난 사이트와 소규모 서비스까지 포함해야 한다.

취약점은 PHP 8.2~8.5 등 지원 중인 버전에도 영향을 줄 수 있어 숫자만 보고 안전하다고 판단하기 어렵다.

반대로 오래된 버전이라도 운영체제 공급업체가 별도 보안 패치를 제공할 수 있으므로 실제 패치 적용 여부를 확인해야 한다.

당장 업데이트하기 어렵다면 KISA 권고처럼 웹 방화벽·웹 서버·프록시에서 요청 크기를 제한하고, 파일 업로드가 필요 없는 서비스는 업로드 요청을 차단하는 방안이 있다.