PHP 보안 취약점, 자바 강국 한국도 안심할 수 없는 이유

한국 기업의 핵심 시스템에서 자바를 많이 쓴다고 해서 PHP 보안 취약점의 영향까지 피할 수 있는 것은 아니다.

협력사가 만든 기능이나 부서별 홈페이지처럼 눈에 덜 띄는 곳에 PHP가 쓰일 수 있고, 관리가 허술한 시스템은 대응에서 빠지기 쉽다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 10월 22일 PHP에서 심각한 취약점 2건이 공개됐다며 긴급 업데이트와 기술적 조치를 당부했다.

악용되면 원격으로 코드를 실행하거나 서비스를 마비시키고 고객정보를 빼낼 수 있다.

PHP는 전 세계 웹사이트의 70% 이상에서 쓰이는 언어인 만큼, 국내에서 당장 접속 중단 사례가 나오지 않았다는 이유만으로 안전하다고 볼 수 없다.

프랑스 보안기업 시벨앙젤이 10월 21일 공개한 분석에서는 PHP가 노출된 서버가 전 세계 약 224만 대로 집계됐다.

한국에서는 보안 업데이트 지원이 끝난 PHP 8.1 이하를 사용하는 인터넷 연결 서버가 2만4500여 대였고, 버전이 확인된 국내 PHP 서버의 82%에 해당했다.

대기업의 주요 시스템보다 협력사나 중소기업의 관리 인력이 부족한 서버에서 취약점이 방치될 가능성이 우려되는 이유다.

오래된 버전만의 문제도 아니다. 전문가들은 PHP 8.2~8.5도 영향을 받을 수 있다고 경고했다.

반대로 숫자가 낮더라도 운영체제 업체가 별도 보안 패치를 적용한 경우가 있어, 버전만 보고 안전 여부를 판단해서는 안 된다.

유지보수 계약이 끝난 사이트, 외주 제작 후 관리자가 불분명한 서비스, 여러 사이트가 함께 쓰는 웹호스팅은 우선 점검 대상으로 꼽혔다.

정부는 10월 22일 낮 12시 민간 분야 사이버위기 ‘주의’ 경보를 발령하고 중소기업 보안점검과 조치를 논의한다고 밝혔다.

KISA는 즉시 업데이트하기 어렵다면 PHP 앞단의 웹 방화벽·웹 서버·프록시에서 요청 크기를 제한하고, 파일 업로드가 불필요한 서비스는 업로드 요청을 차단하라고 권고했다.

점검 범위는 대표 홈페이지에 그치지 않고 게시판·쇼핑몰·관리 도구까지 포함해야 한다.