'PHP 취약점'에 기업 보안 대응 비상…보안업계 "침해 탐지 어렵고 패치도 부담"

PHP 엔진 자체 결함에 인증 없이 원격 공격 가능…중요 정보 유출 우려

애플리케이션 로그만으로 침해 탐지 어려워…서버·프로세스 이상 점검 필요

구형 PHP는 패치 적용도 부담…운영체제·애플리케이션 코드 수정 필요할 수도

SGA솔루션즈 'PHP2Shell 긴급 보안 권고문 및 대응 가이드'의 대응 방안 및 패치 우선 순위 이미지 [사진=SGA솔루션즈]

프로그래밍 언어 PHP에서 치명적인 보안 취약점이 공개되면서 국내 기업들의 보안 대응에 비상이 걸렸다. 이번 취약점은 PHP 엔진 자체의 결함으로, 기업들이 침해 여부를 확인하고 보안 패치를 적용하는 데 어려움을 겪을 수 있다는 우려가 제기됐다.

보안업계는 일반적인 애플리케이션 로그만으로 공격 흔적을 확인하기 어렵고, 구형 PHP를 사용하는 기업은 패치 과정에서 운영체제나 기존 프로그램까지 수정해야 할 수 있다고 지적했다. 

23일 보안업계에 따르면 최근 공개된 PHP 취약점 2건은 모두 국제 보안 취약점 평가체계인 CVSS 기준 9.2점으로, 최고 위험 등급인 '치명적(Critical)'에 해당한다. 예외 상황을 제대로 처리하지 못하는 '부적절한 예외 상황 처리' 취약점과 이미 해제된 메모리를 다시 참조하는 '해제 후 사용' 취약점이다.

PHP는 홈페이지와 온라인 쇼핑몰, 게시판 등 다양한 웹서비스 개발에 사용되는 프로그래밍 언어다. 보안기업 위즈(Wiz)에 따르면 전 세계 웹사이트의 약 70%가 PHP를 사용하고 있다. 국내에서 널리 활용되는 워드프레스와 그누보드 등도 PHP 기반으로 동작한다.

이번 취약점은 특정 웹사이트나 애플리케이션의 보안 설정 문제가 아닌 PHP 엔진 자체의 결함이라는 점에서 영향 범위가 넓은 것이 특징이다. 공격자는 특정 조건에서 별도의 로그인이나 사용자 조작 없이 원격으로 악성 코드를 실행할 수 있다.

A 보안기업의 비상대응팀 관계자는 "애플리케이션을 아무리 안전하게 개발했더라도 취약한 버전의 PHP 위에서 동작한다면 영향을 받을 수 있다"며 "서버 장악까지 이어지지 않더라도 메모리 유출만으로 DB 비밀번호, API 키 같은 중요 정보가 노출될 수 있다"고 설명했다.

보안업계는 기업들이 운영 중인 웹사이트와 서버의 PHP 사용 버전을 확인하고, 보안 패치 적용과 함께 침해 여부도 점검해야 한다고 권고하고 있다.

침해 여부를 파악하기 어렵다는 점은 기업들의 대응 부담을 키우는 요인이다. 이번 취약점은 웹 애플리케이션보다 하위 계층인 PHP 엔진에서 발생해 일반적인 애플리케이션 로그만으로는 공격 흔적을 확인하기 어렵기 때문이다.

보안기업 SGA솔루션즈는 ‘PHP2Shell 긴급 보안 권고문 및 대응 가이드’를 통해 침해 가능성을 판단하기 위한 주요 관찰 지표를 제시했다. 주요 점검 대상은 △비정상적으로 길거나 손상된 PHP 세션 쿠키(PHPSESSID) △반복적인 HTTP 500 오류 △PHP 워커 프로세스의 잦은 재시작 등이다. 이러한 이상 징후가 발견되지 않더라도 침해 가능성을 배제할 수 없어 웹서버와 웹방화벽(WAF)의 요청·응답 기록, PHP 오류 로그 등을 종합적으로 분석해야 한다는 설명이다.

보안 패치 적용에도 어려움이 예상된다. PHP 8.2 이상 지원 버전에는 보안 업데이트가 제공됐다. 하지만 공식 지원이 종료된 PHP 8.1 이하 버전을 사용하는 기업은 별도 소스 패치를 적용하거나 상위 버전으로 전환해야 하기 때문이다. 오래전에 구축한 웹서비스는 PHP 버전 변경에 따라 운영체제나 기존 애플리케이션 코드까지 수정해야 할 수 있다.

B 보안기업 관계자는 "오래전에 구축된 서비스라면 운영체제 업그레이드부터 PHP 버전 변경, 기존 코드 수정까지 필요할 수 있다"며 "패치 작업은 간단하지 않을 것으로 예상된다"고 말했다.

보안업계 전문가들은 즉각적인 패치가 어려운 기업에 외부 접근 제한과 웹방화벽(WAF) 설정 강화 등 임시 보안 조치를 권고하고 있다. 다만 임시 조치만으로 취약점을 완전히 해소할 수 없는 만큼 업데이트 일정을 확보하고, 웹셸(PHP 파일) 설치 여부 등 침해 흔적도 점검해야 한다고 강조했다.

업계에 따르면 이번 취약점은 보안 연구자가 인공지능(AI)을 활용해 발견한 것으로 알려졌다. 이에 AI가 취약점 탐지에 활용되면서 기업들도 보안 점검과 패치 적용에 신속하게 대응해야 한다는 지적이 나온다. 

염흥열 순천향대학교 정보보호학과 교수는 "이번 PHP 취약점은 보안 연구자가 AI를 활용해 발견한 것으로, AI가 보안 취약점을 찾아내는 시대가 현실화됐음을 보여준다"며 "공공기관과 민간기업 모두 자사가 운영하는 시스템과 웹사이트에 해당 취약점이 존재하는지 신속하게 점검해야 한다"고 말했다.

염 교수는 이어 "보안 패치 적용 가능 여부를 확인하고 필요한 조치를 취하는 것도 중요하다"고 강조했다.