PHP 심각도 9.2 취약점 2건 패치, 서버 분리·중단 권고

PHP 개발진이 심각도 9.2점(10점 만점)의 치명적 취약점 2건을 고치는 보안 패치를 21일(현지시간) 공개했다. PHP는 웹사이트와 웹 애플리케이션 개발에 널리 쓰이는 프로그래밍 언어다. 패치를 바로 적용하지 못하는 서버는 공격에 노출될 수 있어 유럽과 영국의 보안 기관은 해당 서버를 공용망에서 분리하거나 내리라고 권고했다.

PHP 개발진은 20일(현지시간) 어드바이저리(보안 권고문)를 내고 취약점의 심각도를 알렸다. 패치는 21일 오전 10시(미국 동부시간, 한국시간 21일 오후 11시) 배포될 예정이었고, 이후 공개가 확인됐다고 더버지(The Verge)는 전했다.

보안업체 watchTowr는 이번 취약점이 원격 코드 실행(RCE) 유형이라고 밝혔다. 공격자가 외부에서 서버에 임의의 코드를 실행해 웹사이트를 변조하거나 데이터를 빼갈 수 있는 결함이다.

영향 범위는 넓다. watchTowr는 PHP 5 이후 모든 버전이 영향을 받을 수 있다고 밝혔다. 워드프레스 보안 플러그인 업체 Wordfence는 PHP 서버에서 돌아가는 모든 워드프레스 사이트가 취약하다고 경고했다.

Wordfence는 이번 패치를 자동 업데이트로는 설치할 수 없다고 설명했다. 사이트 운영자가 직접 수동으로 적용해야 한다. 워드프레스는 지난해 자사 제품이 인터넷의 40% 이상에 쓰인다고 밝힌 바 있는데, 이 수치는 워드프레스의 점유율일 뿐 이번 취약점의 영향 범위가 인터넷의 40% 이상이라는 뜻은 아니다.

유럽연합 CERT(컴퓨터 긴급대응팀)와 영국 국가사이버보안센터(NCSC)는 즉시 패치할 수 없는 기업에 인터넷에 노출된 앱을 공용망에서 분리하거나 완전히 내리라고 권고했다. 서비스를 멈추라는 요구가 나올 만큼 위험 수위가 높다는 신호다.

지나 피터 바냐드(Gina Peter Banyard) PHP 개발자도 비슷한 취지로 말했다. 바냐드는 패치가 유일한 완화책이며, 패치를 적용하지 못한다면 서버를 끄는 것이 가장 현명한 선택일 수 있다고 말했다.

공격 움직임도 포착됐다. 데인 크네흐트(Dane Knecht) 클라우드플레어($NET) CTO는 "초기 공격이 나타나는 것을 보고 있다"고 말했다. PHP 기반 사이트를 노린 공격이 이미 시작됐다는 뜻이다. 클라우드플레어는 패치가 적용되기 전까지 방화벽 규칙을 임시로 갱신하고 있다.

위협 연구 업체 Sansec은 패치 공개 후 15분 이내에 대규모 공격이 시작될 것으로 예상했다. 통상 패치가 공개되면 공격자가 수정된 부분을 분석해 공격 코드를 만들 수 있어, 패치 공개와 실제 적용 사이의 공백이 가장 위험한 구간으로 꼽힌다.

모바일 운영체제 개발사 GrapheneOS는 증명용 익스플로잇(PoC) 개발이 이미 진행되고 있다며 사용자 토론 포럼을 임시 중단했다. PoC는 취약점이 실제로 악용될 수 있음을 보여주기 위해 만든 시연용 공격 코드다.

국내에서 PHP 기반 사이트를 운영하는 곳도 호스팅 업체나 개발 담당자를 통해 패치 적용 여부를 바로 확인할 필요가 있다.