PHP 직접 안 써도 점검해야…‘PHP2Shell’ 대응 4단계 작성일 10-27 49 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">앱·호스팅 통한 ‘간접 노출’ 가능성…포티넷, 대응 가이드 공개</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="HyFR9LpXFj"> <figure class="figure_frm origin_fig" contents-hash="71c621fb6f1a3bb5705c4af9005054ad4946ec4c229cae729a8fcb744de5c703" dmcf-pid="XW3e2oUZuN" dmcf-ptype="figure"> <p class="link_figure"><img alt="PHP 런타임 취약점 ‘PHP2Shell’ 영향권 서비스 3670만 개. 직접 개발 안 해도 외부 앱 통해 노출돼 PHP 업데이트가 필요하다. 사진=게티이미지코리아" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/27/donga/20261027114122441zpaa.jpg" data-org-width="1600" dmcf-mid="GGLyrZae3A" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/27/donga/20261027114122441zpaa.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> PHP 런타임 취약점 ‘PHP2Shell’ 영향권 서비스 3670만 개. 직접 개발 안 해도 외부 앱 통해 노출돼 PHP 업데이트가 필요하다. 사진=게티이미지코리아 </figcaption> </figure> <div contents-hash="16eec651c71d2963b0171b3f2ba66165d71eee3b7e5b63a6a1feaa81b671c529" dmcf-pid="ZY0dVgu5Fa" dmcf-ptype="general"> 전 세계 웹사이트 약 70%가 쓰는 PHP 엔진에서 취약점이 발견된 가운데, PHP로 직접 개발하지 않은 기업도 공격 대상이 될 수 있다는 분석이 나왔다. </div> <p contents-hash="87723c83c741b22167c31b186d51de3bfa3338f18fd0206cc26bd3a3585da4d1" dmcf-pid="5GpJfa713g" dmcf-ptype="general">결함이 앱(APP)이 아닌 엔진 자체에 있어 PHP가 들어간 상용 소프트웨어나 호스팅 서비스를 쓰기만 해도 영향을 받을 수 있기 때문이다. 세계 최대 보안업체 중 하나인 포티넷의 분석이다.</p> <p contents-hash="1cfa4af49509967865f9204aea6fb7c539d54c0dea7b533b99ef0e045b1f0642" dmcf-pid="1OYfUxXSpo" dmcf-ptype="general">27일 포티넷은 PHP 런타임 취약점 ‘PHP2Shell’ 대응 가이드를 공개했다. PHP2Shell은 PHP로 짠 프로그램을 서버에서 돌리는 실행 엔진(런타임)에서 발견된 취약점 2건을 묶어 부르는 이름이다.</p> <p contents-hash="de8ca8c0c8ee68a48a7edeb1a312b709591de3c258840780fa03a70defc5de26" dmcf-pid="tIG4uMZv7L" dmcf-ptype="general">두 취약점 모두 심각도 평가 기준인 CVSS 4.0에서 10점 만점에 9.2점을 받아 ‘치명적(critical)’ 등급으로 분류됐다.</p> <p contents-hash="31ebd7f24491395266604dced1faeac4754bf354356eab1cbedc06e982a9a93d" dmcf-pid="FCH87R5T7n" dmcf-ptype="general">공격에 성공하면 공격자는 PHP 앱 프로세스 안에서 원하는 코드를 실행해 서버를 침해할 수 있다. 프로세스 권한과 시스템 구성에 따라 민감한 데이터, 앱 파일, 연결된 데이터베이스까지 노출될 수 있다.</p> <p contents-hash="152bd28404503c6888fa1754befdb98cd14380cdfbeb34e7b0f3ed36fae8321e" dmcf-pid="3hX6ze1y3i" dmcf-ptype="general">노출 규모도 크다. 인터넷 스캔·보안 데이터 기업 센시스(Censys)에 따르면, 이번 취약점에 영향을 받을 수 있는 PHP 버전을 쓰는 서비스는 약 3670만 개에 달할 수 있다고 봤다.</p> <p contents-hash="fcbdea05f81566962c13c2c379e3bffa1bce5bc6078338c52ec2416ffe183d64" dmcf-pid="0lZPqdtW3J" dmcf-ptype="general"><strong>● 직접 안 써도 ‘간접 사용’ 위험</strong></p> <p contents-hash="1fa3c5258246b491ceffb98cb5d86e6533cde6b56e4e5490084122df9dcda18c" dmcf-pid="pS5QBJFY3d" dmcf-ptype="general">포티넷은 콘텐츠 관리 시스템(CMS)이나 플러그인만 업데이트해서는 문제가 해결되지 않는다고 봤다. 취약점이 PHP 런타임 자체에 있기 때문이다. </p> <p contents-hash="9233396710a4c8ce8337d2ab2285986988df211571d265a9fc4d5718a529461c" dmcf-pid="Uv1xbi3G0e" dmcf-ptype="general">PHP 앱을 직접 개발하지 않는 조직도 상용 앱이나 호스팅 업체, 다른 제품에 내장된 구성 요소를 통해 PHP를 쓰고 있을 수 있다.</p> <p contents-hash="aa469d25d086d696c89130f7c823397f27d1223e5c2369aa6ce898684d407053" dmcf-pid="uTtMKn0H7R" dmcf-ptype="general">PHP 개발 조직인 ‘PHP 프로젝트’는 웹 요청을 처리하는 모든 PHP 설치 환경이 위험하다고 밝혔다. </p> <p contents-hash="68516bdad6f07d596f42f5da35a39c2d73e2015daba5bc769905d1f7183fb56d" dmcf-pid="7yFR9LpX7M" dmcf-ptype="general">가장 위험한 환경으로는 아파치 웹 서버에 PHP를 모듈 형태로 붙여 실행하는 ‘mod_php’를 꼽았다. 연구진이 이 환경에서 앱 코드가 실행되기도 전에 작동하는 공격을 시연했기 때문이다.</p> <p contents-hash="82bcf859ac137d7e15f163f3e7d4f09ab0dd666f6745dfa5b92a407d88a645dd" dmcf-pid="zW3e2oUZUx" dmcf-ptype="general"><strong>● 패치 늦어지는 구조…‘설치’와 ‘적용’은 별개</strong></p> <p contents-hash="5693d1b1bad66481cb1f025adecb06f04e5ea4268d04324de3c02fb298d75e9c" dmcf-pid="qY0dVgu5UQ" dmcf-ptype="general">포티넷은 이번 취약점 대응에 보안, 앱, 인프라 팀이 함께 나서야 한다고 밝혔다. PHP를 업데이트하려면 △호환성 테스트 △유지보수 시간 확보 △서비스 재시작이 필요한데, 그만큼 패치가 늦어지고 노출 기간도 길어질 수 있기 때문이다.</p> <p contents-hash="ef9dfe348d80d6f36363e5d7420d51f34b8f12570a55f61938b159e80f239410" dmcf-pid="BUVkJs8BpP" dmcf-ptype="general">버전 확인도 까다롭다. 운영체제 배포판이나 앱 업체는 PHP 프로젝트의 공식 버전 번호를 따르지 않고, 기존 버전에 보안 수정만 반영(백포트)해 제공하기도 한다. 버전 번호만으로는 안전 여부를 판단하기 어려워 어느 패키지에 수정 사항이 들어 있는지 업체에 확인해야 한다.</p> <p contents-hash="e4963b9e0f7597ba5a9a5782ff79698784a1b54b727116d11dc56c28ee26e0e6" dmcf-pid="bufEiO6b76" dmcf-ptype="general">일부 버전의 후속 지원이 끊긴 점도 문제다. PHP 8.1 이하 버전은 PHP 프로젝트의 정기 보안 업데이트가 중단됐다. 이 버전을 쓰는 조직은 업체가 백포트를 지원하는지, 지원되는 버전으로 업그레이드할 수 있는지 따져봐야 한다.</p> <p contents-hash="d33e23e12b943ec9509feb93028817b93328593f7460dbcb39082200c011973a" dmcf-pid="K74DnIPKu8" dmcf-ptype="general">포티넷은 “업데이트를 설치했다고 수정 사항이 실제 서비스에 적용됐다고 단정할 수 없다”며 “운영 중인 웹 서비스가 패치된 버전으로 돌아가는지, 이전 프로세스가 모두 종료됐는지 확인해야 한다”고 강조했다.</p> <p contents-hash="327ff0139ff1a493778273caccd6e4c753a0a661c550d687a9a9b92027c83ed7" dmcf-pid="9z8wLCQ9U4" dmcf-ptype="general"><strong>● 노출 서버부터 패치…침해 흔적 조사까지 이어가야</strong></p> <p contents-hash="460c3d01adb97d2ac8619ea5ffbd7f7605d9fd89f991b74d91fa8b2f14983276" dmcf-pid="2q6rohx2uf" dmcf-ptype="general">포티넷은 △영향을 받는 환경 파악 △업데이트 테스트와 배포 △임시 보호 조치 △침해 여부 조사 네 단계를 제시했다.</p> <p contents-hash="9c061ef5f2f0bb0710e55e4f9051871aaaa63fdd1ced34e5a44fe20b5b52114d" dmcf-pid="VBPmglMVzV" dmcf-ptype="general">첫 단계는 자산 파악이다. 인터넷에서 접근할 수 있는 자산을 찾아 노출 가능성이 있는 PHP 서비스부터 처리한다. 컨테이너, 호스팅 서비스, PHP가 들어간 외부 업체 앱도 점검 대상이다. 서비스마다 담당자와 조치 일정을 정한다.</p> <p contents-hash="49334d221c2a80776432a1181af648b259692ee01bfc4fbee34fd59f5529dcf7" dmcf-pid="fbQsaSRf32" dmcf-ptype="general">두 번째는 업데이트다. 포티넷은 인터넷에 노출된 서버부터 즉시 패치하라고 권고했다. 업데이트는 핵심 업무 기능에 문제가 없는지 테스트한 뒤 배포하고, 필요하면 관련 프로세스를 재시작한다.</p> <p contents-hash="63b7ef46251428744dd41a7a81d6d288d1fa71dfc81f840c1b400055d815ccc2" dmcf-pid="4KxONve439" dmcf-ptype="general">세 번째는 패치 기간의 임시 보호 조치다. 알려진 공격을 차단하는 가상 패치와 웹 방화벽을 켜고, 외부에 노출될 필요가 없는 시스템은 접근을 제한한다. 그래도 위험을 통제하기 어렵다면 패치 전까지 서비스를 격리하는 방안도 검토할 수 있다.</p> <p contents-hash="a58fcd699ee4f3b727d26fce76838bb77ec681b5d59126a0f9d3733c0d7e336c" dmcf-pid="89MIjTd8uK" dmcf-ptype="general">마지막은 침해 흔적 조사다. 의심스러운 웹 요청, 원인 모를 프로세스 실행, 변조된 파일, 비정상적인 외부 연결 등을 살펴야 한다. 침해가 의심되면 공격자가 심어 둔 장치와 노출된 계정 정보를 조사해야 한다. 업데이트를 설치해도 이미 들어온 공격자는 제거되지 않기 때문이다.</p> <p contents-hash="6b686c0d7b060e1f5cc7d56756f9e7a09082cab75f7158c93a37d1033568eae7" dmcf-pid="62RCAyJ6ub" dmcf-ptype="general"><strong>● 포티넷, 가상 패치 배포…“근본 해결은 PHP 업데이트”</strong></p> <p contents-hash="5ed3be58c0086ce17b819aa8dddec43326817411b1c849e245653ae4fb61b95c" dmcf-pid="PVehcWiPFB" dmcf-ptype="general">포티넷은 PHP 업데이트를 근본적인 해결책으로 제시했다.</p> <p contents-hash="4335c943dc1fa6989166ceecd0fc8f1af117ea7e552313b723172219a54fc049" dmcf-pid="QfdlkYnQ0q" dmcf-ptype="general">그러면서도 PHP2Shell에 대응하는 가상 패치와 침입방지시스템(IPS) 공격 탐지 패턴(Signature)을 배포했다. 가상 패치는 네트워크 트래픽을 검사해 알려진 공격 기법을 찾아내고, 취약한 시스템에 닿기 전에 차단한다.</p> <p contents-hash="b3e17959bafcad9a4c17231b4d2501fc3d1eff7435a76c71f370a0d2ca290e41" dmcf-pid="xKxONve40z" dmcf-ptype="general">이는 PHP 런타임 자체를 수정하거나 모든 공격 경로를 막지는 못하는 임시 조치지만, 앱 코드를 고치지 않고도 노출을 줄여 각 팀이 대응할 시간을 마련할 수 있다.</p> <p contents-hash="f4c97bb5d55bf4bf48f90410346bc862bb070b20a2ba9ff6038b4c4e78190e5e" dmcf-pid="ymy20PGh37" dmcf-ptype="general">포티넷 포티가드랩은 전 세계 위협 탐지망으로 PHP2Shell 관련 활동을 모니터링하고 있다. 관찰된 공격 활동과 새로운 공격 패턴은 추가 업데이트로 공유할 예정이다.</p> <p contents-hash="a31fd958e0dc2dee0d870ff0388d506e58b0dc8815958a19a2c5c1a3e8b742fb" dmcf-pid="WsWVpQHl0u" dmcf-ptype="general">김영호 기자 rladudgh2349@donga.com </p> </section> </div> <p class="" data-translation="true">Copyright © 동아일보. All rights reserved. 무단 전재, 재배포 및 AI학습 이용 금지</p> 관련자료 이전 “과세 형평성 고려” 디지털자산 과세 유예 무게 10-27 다음 "영상 찍힌 신체에 집중해 더 선명한 3D 아바타 생성한다" 10-27 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
