PHP 수정 버전 4종 공개…호스팅 이용자도 업체에 업데이트 확인해야

PHP 서버를 운영하는 사업자는 'php2shell'로 불리는 취약점을 막기 위해 사용 중인 분기에 맞춰 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 중 하나로 올려야 한다. 배포판이 제공하는 수정 패키지를 설치하는 방법도 있다.

PHP 공식 보안 공지는 8.1 이하 버전 이용자에게 지원 중인 분기로 업그레이드하거나, 배포판 또는 장기 지원(LTS) 업체에 구버전용 패치가 있는지 확인하라고 안내했다. PHP는 웹사이트 서버에서 널리 쓰이는 프로그래밍 언어다. 가상자산 거래소와 지갑, 관련 정보 사이트도 웹 서비스를 운영하는 만큼 서버 환경 점검 대상에서 예외가 아니다.

PHP 개발진은 심각도 9.2점(10점 만점)의 취약점 2건을 고치는 보안 패치를 21일(현지시간) 공개했다. 텐센트 클라우드는 인증을 거치지 않은 원격 공격자가 서버 전체를 장악할 수 있는 취약점이라며 코드명 'php2shell'과 함께 자체 점검을 권고했다.

◇ 코드·플러그인만 고쳐서는 막을 수 없다

클라우드플레어(Cloudflare)는 취약점이 웹사이트 코드가 아니라 서버의 PHP 실행 환경에 있다고 밝혔다. 웹사이트 코드나 플러그인을 업데이트하는 것만으로는 문제가 해결되지 않는다는 뜻이다. 호스팅 서비스를 쓰는 사업자는 업체에 연락해 기반 PHP가 이미 업데이트됐는지 확인해야 한다.

클라우드플레어는 웹 애플리케이션 방화벽(WAF)에 HTTP 트랜잭션 전체를 탐지하고 대응하는 규칙을 새로 추가했다. 무료 요금제를 포함한 모든 고객이 쓸 수 있다. 다만 패치를 적용하는 동안에는 WAF 보호를 켜 두되, WAF나 업로드 제한 같은 조치가 패치를 대신하지는 못한다고 선을 그었다.

◇ 기업은 PHP 환경부터 전수 점검

보안업체 헌트레스(Huntress)는 기업에 서버, 관리 패널, 제3자 소프트웨어에 깔린 PHP 환경을 전수 조사하라고 권했다. 인터넷에 노출된 시스템부터 우선 고치라는 것이다. 지원이 끝난 버전이라 제때 패치할 수 없는 시스템은 외부 접속을 일시 차단하는 방안을 검토하라고 했다.

헌트레스는 탐지 요령도 제시했다. PHP 프로세스가 명령줄, 인터프리터, 다운로드 도구를 비정상적으로 실행하는지 감시하라는 내용이다. 의심스러운 활동이 발견되면 서버를 격리하고 웹사이트 로그와 PHP 로그를 보존해야 한다.

◇ 일반 이용자는 계정 보안 점검

일반 이용자는 미국 사이버보안·인프라보안국(CISA)의 통상적인 보안 권고를 참고할 수 있다. △이메일과 금융 계정 등 중요한 계정에 이중 인증(2FA) 설정 △계정마다 서로 다른 강력한 비밀번호를 쓰고 재사용 피하기 △'긴급 비밀번호 재설정'을 사칭한 피싱 메일 경계가 핵심이다. 비밀번호를 바꿔야 한다면 메일 속 링크가 아니라 공식 웹사이트나 앱에서 직접 진행해야 한다.

이런 조치는 계정 탈취와 피싱 위험을 낮추는 데 도움이 되지만, 서버 쪽 PHP 취약점을 고쳐 주지는 않는다. 서버 취약점은 사이트 운영자와 호스팅 업체가 패치해야 하는 영역이다.