패치 배포로 끝 아니다⋯구형 버전ㆍ외주 웹사이트가 사각지대 [PHP 보안결함]

PHP 8.1 이하 정기 지원 종료⋯버전별 패치 경로 달라
호스팅ㆍ배포업체에 적용 여부 확인해야
웹사이트ㆍ서버 사용 현황 파악도 과제로

▲컴퓨터 서버에 케이블들이 꽂혀 있다. (로이터연합뉴스)

PHP의 치명적 보안 취약점을 고친 패치가 공개됐지만, 업데이트가 모든 웹사이트에 자동 적용되는 것은 아니다. 특히 지원이 종료된 구형 PHP를 쓰거나 서버 관리를 외부 업체에 맡긴 곳은 패치 적용 여부와 시점을 확인해야 해 보안 공백이 이어질 수 있다는 지적이 제기됐다.

21일(현지시간) 미국 IT 전문매체 와이어드에 따르면 이번 취약점은 웹 요청을 처리하는 PHP 설치 환경 전반에 영향을 줄 수 있지만 PHP 프로젝트가 정식 보안 업데이트를 제공하는 버전은 8.2 이상이다. PHP 8.1 이하 버전은 정기 지원이 종료돼 최신 버전처럼 간단히 업데이트하기 어려울 수 있다고 와이어드는 경종을 울렸다.

구형 버전에 수정 방법이 전혀 없는 것은 아니다. PHP 개발진은 7.4와 8.0, 8.1용 소스 수정분도 별도로 내놨다. 다만 이를 실제 서버에 적용하려면 운영자가 직접 소스를 작성하거나 리눅스 배포판 업체나 장기 서비스 지원 업체가 수정분을 패키지에 반영해야 할 수 있다. 블리핑컴퓨터는 구형 버전 이용자에게 배포업체에 수정분 제공 여부를 확인하거나 지원 버전으로 옮기라고 권고했다.

웹사이트 관리 주체가 불분명하면 대응은 더 늦어질 수 있다. 자체 서버를 운영하는 기업은 내부 담당자가 PHP 버전과 업데이트 여부를 확인할 수 있지만 관리형ㆍ공유형 호스팅을 쓰는 곳은 업체가 패치를 반영했는지 별도로 확인해야 한다. 더버지는 호스팅 서비스 이용자에게 업체에 패치 적용 시점을 문의하라고 안내했다. 워드프레스도 호스팅 업체가 업데이트를 진행 중일 수 있지만 사이트 운영자가 직접 적용 여부를 확인해야 한다고 공지했다.

문제는 PHP가 웹사이트 자체뿐 아니라 워드프레스ㆍ드루팔ㆍ마젠토 같은 콘텐츠 관리 시스템과 여러 웹 서비스의 기반으로 쓰인다는 점이다. 따라서 홈페이지 관리자가 PHP 사용 사실이나 서버 버전을 모르는 경우도 생길 수 있다. 이번 취약점이 드러낸 과제는 패치 적용만이 아니라 기업과 기관이 자사 웹사이트·서버·외주 서비스 가운데 어디에 PHP가 쓰이는지 파악하는 일이다.

보안 전문가들은 사용 중인 PHP 버전과 서버 운영 주체를 확인하고 호스팅 업체나 소프트웨어 공급업체로부터 패치 적용 여부를 확인해야 한다고 강조했다. 구형 버전의 서비스 호환성 문제로 즉시 전환이 어렵다면 업체의 수정분 제공 여부와 임시 대응 방안을 확인하고 패치가 적용될 때까지 외부 접속을 제한하는 조치도 검토할 필요가 있다.