현지 시간 10월 21일 PHP에서 심각한 보안 취약점 2건이 공개됐고, 22일 아침부터 한국과 일본 언론이 일제히 이 소식을 다뤘습니다. 일본에서는 총리가 직접 나섰고 재무성과 은행 일부가 사이트를 멈췄다는 보도까지 나왔습니다. 워드프레스처럼 PHP로 돌아가는 사이트를 운영하는 분이라면 남의 일이 아닙니다.
정확히 무슨 취약점이고 어떤 버전이 위험할까
한국경제가 KISA(한국인터넷진흥원) 발표를 인용해 전한 내용으로는, 예외 상황을 제대로 처리하지 못하는 결함과 이미 해제된 메모리를 다시 참조하는 결함(해제 후 사용) 두 가지입니다. 외부 공격자가 로그인 없이 임의의 코드를 실행하거나 시스템을 장악할 수 있다고 합니다.
- 영향 범위: PHP 8.2, 8.3, 8.4, 8.5 계열 중 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 미만 버전
- 권고: 해당 버전 이상으로 업데이트
- PHP 8.1 이하: 공식 보안 지원이 끝난 버전이라 정식 패치 대상이 아님. 이투데이는 개발진이 7.4, 8.0, 8.1용 소스 코드 수정본을 따로 내놨고, 리눅스 배포판이나 장기 지원 업체의 패키지에 반영되어야 쓰기 쉽다고 전했습니다.
다만 CVE 번호는 제가 읽은 기사들에 나오지 않았고, 원문 공지는 직접 확인하지 못했습니다. 정확한 식별자와 버전은 PHP 공식 공지나 KISA 안내에서 다시 확인하세요.
일본은 왜 이렇게 크게 반응했나
경향신문과 이투데이 보도를 종합하면, 다카이치 총리가 21일 밤 SNS로 패치 준비를 당부했고 적용이 어려우면 웹사이트를 잠시 중단하는 것도 방법이라고 밝혔습니다. 재무성은 홈페이지 일부 서비스를 멈췄고, 미즈호은행은 방문 예약 서비스를, 시즈오카은행은 인터넷뱅킹을 일시 중단했다고 합니다. 한편 전국은행협회는 은행 간 결제 시스템에 미친 영향을 확인하지 못했고, 일본 IPA는 이 취약점을 악용한 공격은 아직 확인되지 않았다고 밝혔습니다. 즉 지금까지는 예방적 중단이라는 설명입니다.
미국에서는 NSA가 PHP를 쓰는 기관에 즉시 업데이트를 준비하고, 어려우면 오프라인 전환을 고려하라고 권고했다고 이투데이가 전했습니다. 이는 권고이지 법적 명령으로 보도된 것은 아닙니다.
제 해석: 패치 공지보다 어려운 건 내 사이트가 어디서 도는지 아는 일
이건 제 해석입니다. 보도에서 PHP 사용 비율은 약 70%(이투데이·경향)와 식별 가능한 사이트 중 약 75%(한국경제가 인용한 W3Techs)로 조금 다르게 나옵니다. 측정 기준이 달라서이고, 어느 쪽이든 압도적으로 많다는 점은 같습니다. 문제는 PHP가 워드프레스, 드루팔, 매젠토 같은 도구 밑에 깔려 있어서 운영자가 PHP를 쓴다는 사실조차 잊기 쉽다는 점입니다. 특히 외주로 만든 홈페이지, 오래 방치된 보조 사이트, 공유 호스팅이 사각지대가 될 가능성이 큽니다. 워드프레스 플러그인을 업데이트하는 것과 서버의 PHP 버전을 올리는 것은 전혀 다른 작업이라는 점도 헷갈리기 쉽습니다.
오늘 확인해 볼 체크리스트
- 내 사이트와 외주·보조 사이트 목록을 만들고 PHP를 쓰는지 확인한다.
- 서버 관리자는 PHP 버전을 확인한다(명령줄에서 php -v, 호스팅 관리 화면의 PHP 버전 메뉴 등).
- 공유 호스팅이면 업체에 패치 적용 일정을 문의한다. 워드프레스 측도 호스트가 업데이트 중일 수 있지만 운영자가 직접 확인하라고 안내했다고 이투데이가 전했습니다.
- 8.1 이하라면 지원 버전으로의 이전 계획을 세우고, 당장 어렵다면 배포판 업체의 수정본 제공 여부를 확인한다.
- 패치 전까지 관리자 페이지 접근 제한 등 외부 노출을 줄이고, 웹 서버가 예상치 못한 명령 셸을 실행하거나 파일을 내려받는 흔적이 없는지 로그를 본다.
- 업데이트 전에는 백업을 먼저 하고, 업데이트 뒤 사이트가 정상 동작하는지 점검한다.
면책: 이 글은 보도를 바탕으로 한 정보 정리이며 보안 컨설팅이 아닙니다. 보도 이후 상황이 바뀔 수 있으니 실제 조치는 PHP 공식 공지, KISA 등 공식 안내를 기준으로 하시고, 판단과 책임은 본인에게 있습니다.