PHP 긴급 보안 업데이트…국내 웹서비스 대응 점검

지금 주목할 이유

긴급 패치 뒤에도 별도 조건의 위험에 관한 후속 공지가 나왔다. 웹서비스 운영자는 대응 여부를 다시 확인해야 한다.

먼저, 무슨 일인가

PHP 개발팀은 21일 인증 없이 원격 코드 실행으로 이어질 수 있는 두 취약점의 수정판을 공개했다. PHP는 웹서버에서 요청을 처리하는 프로그래밍 언어로, 일부 홈페이지·쇼핑몰·게시판의 기반이 된다. 한국경제는 25일 이 업데이트와 국내 보안 대응, 관리되지 않는 외주 웹사이트 문제를 다뤘다.

원격 코드 실행은 공격자가 서버에서 의도하지 않은 명령을 실행하게 할 수 있다는 뜻이다. 취약점이 있다는 것, 이를 이용한 공격이 시도됐다는 것, 특정 서버가 실제 침해됐다는 것은 다른 단계다. 개발팀은 23일에는 세션 설정과 응용프로그램 코드가 특정 방식으로 결합될 때의 별도 문제를 안내했다. 21일 수정판과 이 후속 조건을 같은 공지로 읽지 않아야 한다.

이렇게 이해하면 쉬워요

여러 웹사이트가 같은 기반 소프트웨어를 쓰면 한 결함의 영향 범위가 넓어진다. 그러나 전체 위험은 각 서비스가 쓰는 실행 환경과 배포 상태에 따라 달라진다. 공식 21일 공지는 웹 요청을 처리하는 PHP 환경의 위험을 알리며 8.5.12·8.4.27·8.3.36·8.2.35 수정판을 제시했다. 리눅스 배포판이나 장기 지원 업체가 수정 코드를 반영한 패키지를 제공할 수도 있어, 화면의 버전 숫자 하나만으로 대응 여부를 확정해서는 안 된다.

설명용 가정으로 설치 담당자는 패키지를 갱신했지만 실제 서비스를 담당하는 환경이 무엇인지 확인되지 않았다고 하자. 이때 ‘업데이트 파일을 받았다’는 말은 어떤 서버에 수정이 적용됐다는 기록보다 약한 근거다. 핵심은 관리 주체, 영향 환경, 공급업체 공지와 적용 기록이 연결되는지다. 23일 추가 공지는 특정 조건의 문제를 따로 다루므로 모든 사이트에 동일한 설정 변경을 지시할 근거가 아니다. 이 글은 패치 절차를 대신 제시하지 않으며 실제 침해 여부는 별도 조사 사항이다.