PHP 긴급 보안 업데이트…사업체 웹사이트도 점검 필요

웹사이트로 주문이나 예약을 받는 사업체라면 사이트 운영업체에 보안 업데이트 적용 여부를 확인할 필요가 있다. 웹사이트를 구동하는 데 널리 쓰이는 PHP에서 치명적인 취약점 두 건이 확인됐으며, 이를 수정한 보안 버전이 공개됐다.

호주신호정보국(Australian Signals Directorate·ASD)은 10월 21일 PHP 관련 긴급 보안 경보를 게시했다. PHP 개발팀도 공식 공지를 통해 이용자들에게 즉시 업데이트할 것을 강하게 권고했다.

이번 문제는 공격자가 로그인하지 않은 상태에서도 서버에서 코드를 실행할 수 있게 하는 취약점이다. 웹 요청을 처리하는 PHP 환경 전반이 점검 대상이며, 개발팀은 특히 아파치 웹서버에서 PHP를 모듈로 실행하는 환경의 위험을 높게 평가했다.

수정 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35다. 다만 서버 운영체제나 호스팅 업체가 별도 보안 패키지를 제공할 수 있으므로, 표시된 버전 숫자만 볼 것이 아니라 해당 취약점의 수정 사항이 실제로 적용됐는지 확인하는 것이 중요하다.

홈페이지 제작과 관리를 외부에 맡긴 사업체는 담당 업체에 PHP 사용 여부와 보안 패치 적용 여부를 문의하면 된다. 사이트가 정상적으로 열리고 주문이 접수된다는 이유만으로 보안 업데이트까지 완료됐다고 판단해서는 안 된다.

오래된 PHP를 사용하는 경우에는 추가 확인이 필요하다. PHP 8.1 이하 버전은 프로젝트의 정규 업데이트 지원이 종료됐지만, 일부 운영체제 배포사와 장기지원 업체는 별도로 수정 사항을 제공한다. 이번에는 구버전용 최소한의 소스 수정도 공개된 만큼, 운영 환경에 맞는 대응 방법을 관리업체와 확인해야 한다.

PHP 개발팀은 일부 임시 조치가 공격 경로를 줄일 수는 있어도 완전한 해결책은 아니라고 설명했다. 사업체 입장에서는 업데이트 일정을 잡는 데 그치지 않고, 적용 완료 여부까지 확인하는 것이 이번 점검의 핵심이다.