현지 시간 10월 21일 PHP에서 심각한 보안 취약점 2건이 공개됐고, 22일 아침부터 한국과 일본 언론이 일제히 이 소식을 다뤘습니다. 일본에서는 총리가 직접 나섰고 재무성과 은행 일부가 사이트를 멈췄다는 보도까지 나왔습니다. 워드프레스처럼 PHP로 돌아가는 사이트를 운영하는 분이라면 남의 일이 아닙니다.
한국경제가 KISA(한국인터넷진흥원) 발표를 인용해 전한 내용으로는, 예외 상황을 제대로 처리하지 못하는 결함과 이미 해제된 메모리를 다시 참조하는 결함(해제 후 사용) 두 가지입니다. 외부 공격자가 로그인 없이 임의의 코드를 실행하거나 시스템을 장악할 수 있다고 합니다.
다만 CVE 번호는 제가 읽은 기사들에 나오지 않았고, 원문 공지는 직접 확인하지 못했습니다. 정확한 식별자와 버전은 PHP 공식 공지나 KISA 안내에서 다시 확인하세요.
경향신문과 이투데이 보도를 종합하면, 다카이치 총리가 21일 밤 SNS로 패치 준비를 당부했고 적용이 어려우면 웹사이트를 잠시 중단하는 것도 방법이라고 밝혔습니다. 재무성은 홈페이지 일부 서비스를 멈췄고, 미즈호은행은 방문 예약 서비스를, 시즈오카은행은 인터넷뱅킹을 일시 중단했다고 합니다. 한편 전국은행협회는 은행 간 결제 시스템에 미친 영향을 확인하지 못했고, 일본 IPA는 이 취약점을 악용한 공격은 아직 확인되지 않았다고 밝혔습니다. 즉 지금까지는 예방적 중단이라는 설명입니다.
미국에서는 NSA가 PHP를 쓰는 기관에 즉시 업데이트를 준비하고, 어려우면 오프라인 전환을 고려하라고 권고했다고 이투데이가 전했습니다. 이는 권고이지 법적 명령으로 보도된 것은 아닙니다.
이건 제 해석입니다. 보도에서 PHP 사용 비율은 약 70%(이투데이·경향)와 식별 가능한 사이트 중 약 75%(한국경제가 인용한 W3Techs)로 조금 다르게 나옵니다. 측정 기준이 달라서이고, 어느 쪽이든 압도적으로 많다는 점은 같습니다. 문제는 PHP가 워드프레스, 드루팔, 매젠토 같은 도구 밑에 깔려 있어서 운영자가 PHP를 쓴다는 사실조차 잊기 쉽다는 점입니다. 특히 외주로 만든 홈페이지, 오래 방치된 보조 사이트, 공유 호스팅이 사각지대가 될 가능성이 큽니다. 워드프레스 플러그인을 업데이트하는 것과 서버의 PHP 버전을 올리는 것은 전혀 다른 작업이라는 점도 헷갈리기 쉽습니다.
면책: 이 글은 보도를 바탕으로 한 정보 정리이며 보안 컨설팅이 아닙니다. 보도 이후 상황이 바뀔 수 있으니 실제 조치는 PHP 공식 공지, KISA 등 공식 안내를 기준으로 하시고, 판단과 책임은 본인에게 있습니다.
SQLD 2과목에서 윈도우 함수는 문법 자체보다 "동점이 있을 때 결과가 어떻게 달라지는가"를 묻는 경우가 많습니다.…
방화벽, IDS, IPS는 정보보안기사 필기에서 거의 빠지지 않는 단골 주제입니다. 이름이 비슷하다 보니 "누가 차단까지…
서울에서 주택분 재산세를 500만 원 넘게 내는 사람이 올해 처음 10만 명을 넘었습니다. 서울시 자료를…