[주간 클라우드 동향/10월④] 서버 패치로는 못 막는다…PHP 8.1 이하, 호스팅·클라우드 업계 전환 과제로 작성일 10-26 56 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">정규 패치 대상서 빠진 PHP 8.1 이하…사업자가 서버를 막아도 이용자 전환이 관건</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="VWFq4FcnC8"> <figure class="figure_frm origin_fig" contents-hash="15ef5a79bd157b8604453618abf07c59def9ae1bf05e2d8bfc25ab0009c63510" dmcf-pid="fY3B83kLC4" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/26/552796-pzfp7fF/20261026130457477fxnw.jpg" data-org-width="500" dmcf-mid="9kT5uTd8CP" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/26/552796-pzfp7fF/20261026130457477fxnw.jpg" width="658"></p> </figure> <p contents-hash="ca7df236cca066c175c5d1aa4dbca955b22ce8f6786d8e085b25183e3a03446c" dmcf-pid="4G0b60Eolf" dmcf-ptype="general">[디지털데일리 박재현기자] PHP 취약점 파장이 웹호스팅·클라우드 업계로 번졌습니다. 로그인 없이 서버에서 악성 코드를 실행할 수 있는 결함이 공개되자 호스팅 사업자들은 밤새 서버 패치에 나섰습니다. 문제는 공식 지원이 끝난 PHP 8.1 이하 버전입니다. 정규 패치 대상에서 빠져 있기에 8.1 이하 버전을 쓰는 사이트는 상위 버전으로 옮기기 전까지 취약점에 그대로 노출되는 상황입니다.</p> <p contents-hash="5dc3a4c655481af3c77e8a5167dfeda64b3e5eb093a63b2ff35bdda3d76097d7" dmcf-pid="8HpKPpDgCV" dmcf-ptype="general">영향 범위가 넓다는 경고가 잇따르자 사업자들이 발 빠르게 움직였습니다. 이번 취약점 2건은 21일(현지시간) 공개됐습니다. PHP는 전 세계 웹사이트의 70% 이상이 쓰는 언어입니다. 미국 국가안보국(NSA)과 연방수사국(FBI)은 즉시 업데이트할 수 없는 시스템을 오프라인으로 전환하라고 권고했고, EU 사이버보안 기관들도 공동으로 긴급 조치를 당부했습니다. 한국인터넷진흥원(KISA)도 같은 날 보안 업데이트를 권고했습니다. 정부는 범부처 차원의 대책 마련에 나섰습니다.</p> <p contents-hash="2422c5e2947cb0ff5254a1a80d94bd9d30e311d5c4980dec6f0a9b7f3af87a5d" dmcf-pid="63b6JbCEl2" dmcf-ptype="general">방어에 할애할 시간도 넉넉하지 않았습니다. 이 결함은 지난 8월 보안기업 캘리프가 AI 모델로 PHP 소스코드를 검증하다 먼저 찾아냈습니다. 하지만 악용 가능성이 낮다는 판단에 사실상 방치됐습니다. 그 사이 취약점 정보가 공식 패치보다 먼저 외부로 새 나갔고, 공격 코드까지 공개됐습니다. 팔로알토네트웍스는 외부에 노출된 PHP 인스턴스를 전 세계 2200만개 이상으로 추정했습니다. 공격자가 패치를 역분석해 악용하는 시간도 짧아지고 있다고 밝히기도 했습니다.</p> <p contents-hash="af8d6ec7e377ab51da23dded7d083c44c716134109257f9285493516dd3d48f3" dmcf-pid="P0KPiKhDT9" dmcf-ptype="general">국내 호스팅·쇼핑몰 업체들은 서버 패치부터 서둘렀습니다. 가비아는 21일 웹호스팅 PHP 긴급 보안 패치 일정과 함께 서비스가 끊길 수 있다고 안내했습니다. 공식 지원이 끝난 구버전에도 별도 보안 조치를 적용했습니다. 쇼핑몰 플랫폼 업체 NHN커머스는 자사가 관리하는 고도몰 서버 전체를 일괄 패치했습니다.</p> <p contents-hash="b89e4f447ff6eb7d86718e25e32d88ef7e0236a617fb13bf761c825ab6d07e0a" dmcf-pid="Qp9Qn9lwTK" dmcf-ptype="general">하지만 서버 패치만으로 모든 사이트를 막을 수는 없습니다. 국내 PHP 사이트의 구버전 비중은 89%에 달하는 것으로 나타났습니다. 이들 사이트는 상위 버전으로 옮겨야 하는데, 호환성이 발목을 잡습니다. 서비스마다 PHP 버전과 설정을 파악하고 의존성까지 점검해야 해, 여러 시스템이 맞물린 서비스일수록 전환에 시간이 더 소요됩니다.</p> <p contents-hash="e581df719b50d43ce2661ece7c6c4480648a97d1f70df255e658c8056295ad3c" dmcf-pid="xU2xL2SrSb" dmcf-ptype="general">점검 범위도 자체 서버를 넘어 외부 위탁 구간까지 확대됐습니다. 네이버와 카카오 등 주요 플랫폼 기업은 외부 개발사와 호스팅업체가 관리하는 시스템까지 점검 대상에 넣었습니다. 아직 직접적인 영향은 확인되지 않았다는 입장입니다. 통신 3사도 자체 점검과 긴급 조치에 나섰고, 현재까지 특이사항은 없다고 밝혔습니다.</p> <p contents-hash="b2f772ec9691d76331d662e49c648d95fa2f2026cd516a9619200f952e1eb51d" dmcf-pid="yAOy1O6bWB" dmcf-ptype="general">서버 패치는 사업자가 대신 처리할 수 있지만 상위 버전 전환은 사이트마다 호환성을 검증해야 하기에 사업자가 일괄 처리하기 어렵습니다. 구버전 사이트는 전환을 마칠 때까지 노출 위험을 안고 가야 합니다.</p> <p contents-hash="5e8c1c50d495058c967de3ad096d5eaf6bba3bee3181bd7ee19bd831b6cf9213" dmcf-pid="WcIWtIPKWq" dmcf-ptype="general">한편, 자사 사이트의 PHP 버전을 몰라도 노출 여부를 확인할 수 있는 점검 서비스도 공개됐습니다. 파이오링크는 홈페이지 주소만 입력하면 '취약', '패치됨', '확인 불가'로 결과를 알려주는 ‘php2shell 긴급점검' 페이지를 공개했습니다. 엔키화이트햇은 진단 스캐너를 무상으로 배포했습니다.</p> <p contents-hash="dab5a3726bf8a6a4ce94661412c0559902808d23c828582d7ac17dfa2ead22bf" dmcf-pid="YkCYFCQ9vz" dmcf-ptype="general"><strong>다음은 지난주 국내에 전해진 국내외 클라우드 관련 소식입니다. 개별 기사에 대한 자세한 내용을 원하시는 분은 기사 제목을 검색하면 전체 내용을 읽을 수 있습니다.</strong></p> <p contents-hash="396353a59f4fef1174aac430ae529d35f23813bfc3c4bdc88e4a1d16dc720e47" dmcf-pid="GEhG3hx2S7" dmcf-ptype="general"><strong>◆ AI 인프라 투자에 데이터센터 지출 2026년 1조달러 돌파 전망</strong>=전 세계 데이터센터 지출이 올해 1조달러(약 1320조원)를 넘고 2028년에는 2조1000억달러(약 2780조원)로 두 배 이상 늘 전망이다. 23일(현지시간) 로이터가 뱅크오브아메리카(BofA) 글로벌 리서치 보고서를 인용해 보도했다. 구축 비용은 1MW당 약 4900만달러(약 650억원)이며 IT 장비가 78%를 차지한다. 개발업체들은 전력 확보와 건축 허가, 전력망 연결에서 어려움을 겪고 있다.</p> <p contents-hash="6f9e592c36403a24d9a36bb7f63743e96339a59682a5e367b7fb51663be5bc8e" dmcf-pid="HDlH0lMVWu" dmcf-ptype="general"><strong>◆ “AIDC 전력특례, 환경부 기준상한 50MW론 부족…세제혜택 확정돼야”</strong>=김남국 더불어민주당 의원이 23일 국회 과학기술정보방송통신위원회 국정감사에서 AIDC 전력특례와 세제 지원의 불확실성을 지적했다. 비수도권 AIDC의 전력계통영향평가 면제 상한을 기후에너지환경부는 50MW, 과기정통부는 최소 100MW로 검토하는 것으로 알려졌다. 배경훈 부총리 겸 과기정통부 장관은 기업들이 100MW보다 높은 수준을 요구한다며 과기정통부안 수준에서 협상이 끝나도록 노력하겠다고 밝혔다. 임대형 AIDC에는 세제 혜택이 없어 재정당국과 협의하겠다고 답했다.</p> <p contents-hash="4691aa67da00b3f2e14cbd5f41612b7d293d600d58082f3a94d935c71882d903" dmcf-pid="XRawla71WU" dmcf-ptype="general"><strong>◆ “데이터 날아가도 통지 의무 없어”…클라우드법 사각지대·핑퐁 민원 도마</strong>=김선민 조국혁신당 의원이 23일 국정감사에서 KT클라우드 데이터 소실 사고에 따른 이용자 보호 대책 마련을 촉구했다. 지난 6월 24일 KT클라우드 데이터센터의 노후 저장장치가 고장 나 고객사 292곳의 홈페이지와 데이터가 영구 소실됐다. 서비스가 재판매사와 웹에이전시를 거쳤지만 클라우드컴퓨팅법은 이런 구조에서 보호받는 이용자의 범위를 명확히 규정하지 않고, 데이터 멸실도 통지·보고 사유가 아니다. 배 장관은 개선방안을 한 달 안에 보고하겠다고 답했다.</p> <p contents-hash="1cbff53b3dc38eb414a27f2812ff1e211a7d57684cb6097fb0b5b6286af3797e" dmcf-pid="ZeNrSNztvp" dmcf-ptype="general"><strong>◆ 메가존클라우드, AWS 거브클라우드 공급 자격 확보…美 공공·방산 공략</strong>=메가존클라우드가 AWS 정부 부문 공인 리셀러 자격을 획득했다고 22일 밝혔다. 미국 공공기관과 규제 산업 고객에게 일반 AWS 환경과 분리해 설계한 거브클라우드(GovCloud US)를 공급할 수 있게 됐다. 미국 현지 전문인력을 기반으로 운영체계를 마련했고, 미국법인을 중심으로 정부·공공기관과 방산·필수 기간산업 고객을 확보해 설계부터 운영까지 지원한다. 미국 시장에 진출하려는 국내 기업도 지원 대상이다.</p> <div contents-hash="81353d76779b67344eb9db7f13237620c0c047259377399ee1df36b9fbd88907" dmcf-pid="5djmvjqFT0" dmcf-ptype="general"> <strong>◆ 학습은 AWS, 서비스는 정부 GPU…카카오, '모두의 AI' 인프라 이원화</strong>=카카오가 정부 '모두의 AI' 사업에 쓸 '카나나' 모델 학습을 AWS 클라우드에서 진행하는 ‘하이브리드 AI' 전략을 공개했다. 학습은 '아마존 세이지메이커 하이퍼파드'로 하고, 완성된 모델은 정부 지원 GPU에 올려 서비스한다. 김세웅 카카오 부사장이 23일 ‘AWS AI 웨이브 2026’ 기조연설에서 밝혔다. 카카오는 하이퍼파드가 장애 난 노드를 자동으로 교체하고 저장된 체크포인트에서 학습을 재개하는 점을 선택 이유로 꼽았다. 같은 행사에서 AWS코리아는 고객의 88%가 AI를 도입했지만 성과로 잇지 못하고 있다고 진단했다. </div> <figure class="figure_frm origin_fig" contents-hash="decaa91be148153ef2653850b5481f6f73a47fbda8419c1d54dc1876b36c44c9" dmcf-pid="1JAsTAB3T3" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/26/552796-pzfp7fF/20261026130457692bxxb.jpg" data-org-width="580" dmcf-mid="2LECYE9UT6" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/26/552796-pzfp7fF/20261026130457692bxxb.jpg" width="658"></p> </figure> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 더존비즈온, 침해사고 사과…“정부 조사 협조·고객 보호 최선” 10-26 다음 [오라클AI월드] F1 레드불·세일GP, OCI로 레이스 전략 짠다…경기 운영 전반에 AI 적용 10-26 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
