포티넷 “PHP 서버 3670만개 위험”…치명적 취약점 경고 작성일 10-27 47 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">인증 없이 원격 코드 실행 가능…PHP 업데이트·침해 흔적 조사 권고</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="fPFpSpDg5d"> <figure class="figure_frm origin_fig" contents-hash="9c18df9a44343a4f2194fb84d2f7944b25a520774002b780866d665c1ed1f4ea" dmcf-pid="4Q3UvUwate" dmcf-ptype="figure"> <p class="link_figure"><img alt="포티넷 로고ⓒ포티넷" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/27/dailian/20261027145722198xwxp.jpg" data-org-width="1200" dmcf-mid="VCYXrXgRHJ" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/27/dailian/20261027145722198xwxp.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 포티넷 로고ⓒ포티넷 </figcaption> </figure> <p contents-hash="798efe3d3241d3f0338391d37b27c38fb1e67609959d2cdd059c9cc32fc95fce" dmcf-pid="87SycyJ6YR" dmcf-ptype="general">PHP 실행 환경 자체의 보안 결함으로 웹 서버가 공격에 노출될 수 있다는 경고가 나왔다.</p> <p contents-hash="a8eca1fbb8ae1087e358b67c267553c5e4ad9f9ee6de2083cd550c1ab6ee2bd5" dmcf-pid="6zvWkWiPHM" dmcf-ptype="general">포티넷은 PHP 런타임에서 발견된 치명적 원격 코드 실행 취약점 ‘PHP2Shell’에 대한 대응 가이드를 공개했다고 27일 밝혔다.</p> <p contents-hash="d6dd264e490640e75894d1739b048f0e858b9b81b4e1b878081ecdca67e269bd" dmcf-pid="PqTYEYnQtx" dmcf-ptype="general">원격 코드 실행은 공격자가 외부에서 서버에 악성 명령이나 프로그램을 실행하는 공격을 말한다. 포티넷은 보안 업데이트 적용과 함께 수정 사항이 실제로 적용됐는지 확인하고, 침해 흔적 조사까지 마칠 때까지 대응을 이어가야 한다고 권고했다.</p> <p contents-hash="933e102c1a79695d438cb85ff1288d1efee08438681504745cdb72dc22c60c77" dmcf-pid="QByGDGLxHQ" dmcf-ptype="general">PHP2Shell은 PHP 런타임에서 발견된 치명적 취약점 2건(CVE-2026-109618, CVE-2026-109619)을 통칭한다. 런타임은 PHP로 작성된 애플리케이션 코드를 실제로 실행하는 소프트웨어다. 두 취약점은 취약점 심각도 평가 기준인 CVSS 4.0에서 10점 만점에 9.2점을 받아 '치명적(critical)' 등급으로 분류됐다. 공격자는 인증 절차 없이도 외부에서 취약한 서버에 코드를 실행할 수 있다.</p> <p contents-hash="613db554064fcf1520438f64bea807230961fd34dcccd062f7de4a075464b4fa" dmcf-pid="xbWHwHoMHP" dmcf-ptype="general">PHP는 워드프레스, 드루팔, 줌라, 마젠토 등 널리 쓰이는 웹사이트 구축 플랫폼을 구동하는 서버 측 스크립트 언어다. 직접 PHP 애플리케이션을 개발하지 않는 조직도 상용 애플리케이션이나 호스팅 업체, 다른 제품에 내장된 구성 요소를 통해 PHP를 쓰고 있을 수 있다. 취약점이 PHP 런타임 자체에 있어, 콘텐츠 관리 시스템(CMS)이나 플러그인만 업데이트해서는 해결되지 않는다.</p> <p contents-hash="237e8d1d1b699583d08755ca28ac473e55763c07eccd537a513254b4c60bae06" dmcf-pid="yrMdBdtWX6" dmcf-ptype="general">공격에 성공하면 공격자는 PHP 애플리케이션 프로세스 안에서 원하는 코드를 실행해 서버를 침해할 수 있다. 프로세스 권한과 시스템 구성에 따라 민감한 데이터, 애플리케이션 파일, 연결된 데이터베이스까지 노출될 수 있다.</p> <p contents-hash="f66e0d17a5f607b365ad643eeeec2bc964b4c3a05b39efd5dd60496b7e9fe511" dmcf-pid="WmRJbJFYZ8" dmcf-ptype="general">PHP 프로젝트는 웹 요청을 처리하는 모든 PHP 설치 환경이 위험하다고 밝혔다. 그중 위험도가 가장 높은 환경으로는 아파치 웹 서버에 PHP를 모듈 형태로 붙여 실행하는 mod_php를 꼽았다. 연구진이 애플리케이션 코드가 실행되기도 전에 작동하는 공격을 시연했기 때문이다. 따라서 로그인 같은 애플리케이션 인증 절차로는 공격을 막지 못할 수 있다.</p> <p contents-hash="ccb1c3d5692d0005615c406173c4dbdf3578076edf5fd88f990c6c9dbf3431c7" dmcf-pid="GOdn9n0HYf" dmcf-ptype="general">공개된 인터넷 스캔 결과로 잠재적 노출 규모를 가늠할 수 있다. 인터넷 스캔 및 보안 데이터 기업 Censys의 10월 22일 집계에 따르면, 인터넷에 노출된 서비스 가운데 이번 취약점에 영향받을 가능성이 있는 PHP 버전을 쓰는 서비스는 약 3,670만 개다.*</p> <p contents-hash="d23f7bd4a5af2f8ca0218ec942a73b244b063756c67e5d06d4de9fbd19d4a1dc" dmcf-pid="HIJL2LpX1V" dmcf-ptype="general">포티넷은 PHP 애플리케이션을 운영하는 조직이 이번 취약점을 해결하려면 보안, 애플리케이션, 인프라 팀이 함께 대응해야 한다고 밝혔다. 또 PHP를 업데이트하려면 기존 서비스와 충돌하지 않는지 확인하는 호환성 테스트, 작업을 위한 유지보수 시간 확보, 서비스 재시작이 필요할 수 있어 패치 적용이 늦어질 수 있다고 짚었다.</p> <p contents-hash="4a6835655c1b9d6b85a418dcf66c850344a6be1807962e8d69aa33d32c6399ac" dmcf-pid="XCioVoUZG2" dmcf-ptype="general">운영체제 배포판 제공업체나 애플리케이션 업체는 PHP 프로젝트의 공식 버전 번호를 그대로 따르지 않고, 기존 버전에 보안 수정만 반영(백포트)해 제공하기도 한다. 이 때문에 어느 패키지에 수정 사항이 들어 있는지 해당 업체에 확인해야 한다. PHP 8.1 이하 버전은 PHP 프로젝트의 정기 보안 업데이트가 더 이상 제공되지 않아, 업체가 백포트를 지원하는지 또는 지원 버전으로 업그레이드할 수 있는지 확인해야 한다.</p> <p contents-hash="1e4e3b625c4949786ac31058565297486df88c28d3c97f753fcf0cf2dee8efe6" dmcf-pid="5lLa4a71GK" dmcf-ptype="general">포티넷이 제시한 대응은 영향받는 환경 파악, 업데이트 테스트와 배포, 임시 보호 조치, 침해 여부 조사 네 가지다.</p> <p contents-hash="cdd0a61c0d30a420e14314c19841f7dcab383769bcdfba1007f027d294dd00b4" dmcf-pid="1SoN8NztZb" dmcf-ptype="general">첫 단계는 영향받는 환경을 파악하는 것이다. 외부 공격 표면 관리(EASM) 도구로 기존 자산 목록에서 빠진 것까지 포함해 인터넷에서 접근 가능한 자산을 찾고, 노출 가능성이 있는 PHP 서비스부터 처리한다. 컨테이너, 매니지드 호스팅, PHP가 포함된 외부 업체 애플리케이션도 점검 대상이다.</p> <p contents-hash="eddc011cb216e142a5c8b4dbd31f34e10e3cec4504fb73ea7556276e88074d94" dmcf-pid="tvgj6jqF1B" dmcf-ptype="general">환경별로 실행 중인 PHP 버전, 배포 방식, 애플리케이션 담당자, 패치 상태를 기록하고, 이 환경들을 관리하는 업체와 조치 계획도 확인해야 한다. 또 서비스마다 담당자와 조치 일정을 정하고, 패치 적용이 검증될 때까지 임시 보호 조치를 유지해야 한다.</p> <p contents-hash="f8002f07960672c024c79844b706486620971b67ff95747d491d707f5ead1ca1" dmcf-pid="FzvWkWiPtq" dmcf-ptype="general">포티넷은 인터넷에 노출된 PHP 서버를 비롯해 외부에 노출된 환경부터 즉시 패치하라고 권고했다. 운영체제 배포판이나 서비스 제공업체가 관리하는 패키지를 쓰는 조직은 해당 업체가 제공하는 보안 업데이트를 적용해야 한다.</p> <p contents-hash="b13dddfe8f54a49853f271e9ef626caa9a2ff69f9b65260dcae9bd51d5a21aa8" dmcf-pid="0ByGDGLxH7" dmcf-ptype="general">업데이트는 핵심 업무 기능과 함께 쓰는 구성 요소에 문제가 없는지 테스트한 뒤 배포하고, 영향을 받는 PHP 프로세스(워커)와 컨테이너는 필요에 따라 재시작하거나 교체해야 한다. 이후 실제 운영 중인 웹 서비스가 패치된 버전으로 돌아가는지, 이전 프로세스가 모두 종료됐는지 확인해야 한다. 업데이트를 설치한 것만으로는 수정 사항이 실제 서비스에 적용됐다고 단정할 수 없기 때문이다.</p> <p contents-hash="325d2ef17e1a932d89a3606c2d2b7eb39d9defa5cf287ef3e87ffcd1a864e7d0" dmcf-pid="pbWHwHoMHu" dmcf-ptype="general">패치를 준비하고 배포하는 동안에는 임시 보호 조치로 노출을 줄여야 한다. 알려진 공격을 네트워크에서 차단하는 가상 패치, 침입 방지 시스템(IPS), 웹 애플리케이션 방화벽을 활성화하고, PHP 권고문에서 환경에 맞는 임시 설정 조치도 확인한다. 인터넷에 노출될 필요가 없는 시스템은 VPN이나 SASE 같은 보안 접속 환경 뒤에 두고, 가능하면 서비스 접근을 제한한다.</p> <p contents-hash="ff83ddedfd97c7aefa4122cb57a6f18204ec41bbd038c58c13354b7da3ba0482" dmcf-pid="UKYXrXgRYU" dmcf-ptype="general">이런 조치로도 노출을 충분히 통제하기 어렵다면 패치 전까지 해당 서비스를 일시적으로 격리하는 방안도 검토할 수 있다. 다만 임시 설정 변경은 특정 공격 경로만 막을 뿐이다. PHP 프로젝트는 PHP2Shell에 대해 업데이트가 완전한 해결책이라고 밝혔다.</p> <p contents-hash="309623f4fadf9dbe56055a8dbf1832914b666fbb539fd9f55f8e3c73a07c1ee7" dmcf-pid="72H5s5NdY0" dmcf-ptype="general">침해 흔적 점검도 필요하다. 의심스러운 웹 요청, 예상치 못한 PHP 프로세스(워커) 충돌, 원인을 알 수 없는 프로세스 실행, 변조된 애플리케이션 파일, 외부로 향하는 비정상적인 연결 등을 살펴봐야 한다. 침해가 의심되면 증거를 보존하고, 공격자가 접근을 유지하려고 심어 둔 장치(지속성 메커니즘)와 노출된 자격 증명을 조사해야 한다. 보안 업데이트를 설치해도 이미 서버에 접근한 공격자까지 제거되지는 않는다.</p> <p contents-hash="508a267574adfc6f26c7ab86620a91556443c88a5cd364ba7642cbabf210067f" dmcf-pid="zVX1O1jJ53" dmcf-ptype="general">포티넷은 포티게이트(FortiGate)를 구동하는 운영체제 포티OS(FortiOS)를 비롯해 포티매니저(FortiManager), 포티애널라이저(FortiAnalyzer), 포티웹(FortiWeb) 등 다수의 자사 제품이 이번 취약점의 영향을 받지 않는 것을 확인했다. 전체 제품 목록과 최신 정보는 포티넷 PSIRT 권고문에서 확인할 수 있다.</p> <p contents-hash="b9da40141b90364081cb367369c06985f22e2c5c2ad710524867e11880665e2d" dmcf-pid="B45FCFcntt" dmcf-ptype="general">한편 과학기술정보통신부와 한국인터넷진흥원(KISA)은 지난 22일 PHP 보안 취약점과 관련해 웹사이트 운영 기업·기관에 긴급 보안 업데이트와 침해 흔적 점검을 당부했다. 공식 보안 지원이 종료된 PHP 8.1 이하 버전은 지원되는 상위 버전으로 전환하도록 안내했다. 또 이날 낮 12시를 기해 민간 분야 사이버위기 경보를 기존 ‘관심’에서 ‘주의’로 상향했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 데일리안. 무단전재 및 재배포 금지.</p> 관련자료 이전 "해외 시장 잡아라"…韓 스타트업 3사 오라클 AI 월드 출격 10-27 다음 AI로 뚝딱 만든 PPT, 수정은 한참…캔바가 내놓은 해법은? 10-27 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
