PHP 인증 없는 서버 장악 취약점과 보안 업데이트

PHP 개발진은 10월 21일 보안 취약점을 수정한 버전을 배포했습니다. KISA가 제시한 업데이트 기준은 PHP 8.2 계열의 8.2.35, 8.3 계열의 8.3.36, 8.4 계열의 8.4.27, 8.5 계열의 8.5.12입니다. 각 계열에서 이보다 낮은 버전이 영향을 받으므로, PHP 8.2부터 8.5까지라는 계열 이름만으로는 수정 여부를 구분하기 어렵습니다.

문제의 핵심은 공격자가 인증을 거치지 않고 서버에서 악성 코드를 실행할 수 있다는 점입니다. 사이버 보안 기업 티오리는 'PHP2Shell'로 부르는 취약점을 직접 재현했으며, 공격자가 서버에 원하는 명령을 내리거나 서버가 처리하는 데이터를 들여다볼 수 있다고 설명했습니다. 이는 웹사이트의 화면이나 일부 기능을 바꾸는 데 그치지 않고 서버 전체의 통제와 데이터 보호에 영향을 줄 수 있다는 설명입니다.

티오리는 이번 취약점이 개별 웹사이트를 만든 코드가 아니라 PHP 자체의 결함에서 발생한다고 설명했습니다. 웹사이트를 어떻게 구현했는지와 관계없이 취약한 PHP 버전을 사용하면 공격 대상이 될 수 있다는 것입니다. 따라서 웹사이트 기능을 고치는 조치와 PHP 실행 환경의 결함을 수정하는 조치를 구분해야 하며, PHP 개발진은 업데이트 외에는 완전한 방어책이 없다고 밝혔습니다.

티오리에 따르면 공식 공개 전부터 공격이 실제로 가능한지 보여주는 개념증명 시연 영상과 취약점을 수정한 실행 파일이 유출됐습니다. 티오리는 유출된 내용을 바탕으로 한 공격 코드가 빠르게 퍼지고 있다고 설명했습니다. 이 설명은 공격 방법이 확산되고 있다는 의미이며, 실제로 침해된 서버의 수나 국내 피해 규모를 제시한 것은 아닙니다.

이미 공격을 받았는지를 살피는 과정에도 제약이 있습니다. 티오리는 공격이 웹사이트 프로그램보다 깊은 단계에서 일어나 웹사이트 기록에는 흔적이 거의 남지 않으며, 서버의 일부 흔적도 기본 설정에서는 24분 뒤 지워질 수 있다고 설명했습니다. 이에 서버 기록을 신속히 점검하고, 침해 흔적을 발견하면 서버를 인터넷에서 분리한 뒤 데이터베이스 비밀번호 등 비밀정보를 바꾸라고 권고했습니다.