포티넷, PHP2Shell 대응 가이드 공개…패치 전 임시 보호 조치 권고

포티넷은 프로그래밍 언어 PHP에서 발견된 고위험 보안 취약점 ‘PHP2Shell’에 대응하기 위한 보안 가이드를 27일 공개했다. 보안 업데이트가 완료되기 전까지 침입방지시스템(IPS)과 웹방화벽 등을 활용해 공격 위험을 줄이고, 업데이트 이후에도 침해 흔적을 조사하도록 권고했다.

PHP2Shell은 PHP 실행 환경에서 발견된 원격코드실행(RCE) 취약점 2건(CVE-2026-109618·CVE-2026-109619)을 통칭한다. 두 취약점은 공통 취약점 평가체계(CVSS) 4.0 기준 9.2점으로, 치명적 등급에 해당한다. PHP는 워드프레스와 드루팔 등 웹사이트 구축 플랫폼에서 널리 사용하는 프로그래밍 언어다. 이번 취약점은 PHP로 작성된 프로그램을 실행하는 소프트웨어 자체에서 발생했다. 따라서 웹사이트 관리 프로그램이나 플러그인만 업데이트해서는 해결할 수 없다.

포티넷에 따르면, 공격자는 별도 인증 없이 취약한 서버에서 코드를 실행할 수 있다. 공격에 성공하면 서버의 실행 권한과 구성에 따라 애플리케이션 파일이나 민감한 정보, 연결된 데이터베이스 등에 접근할 가능성이 있다.

인터넷 스캔 업체 센시스(Censys)가 지난 22일 집계한 결과, 이번 취약점의 영향을 받을 가능성이 있는 PHP 버전을 사용하는 인터넷 노출 서비스는 약 3670만개로 추정됐다. 다만 이는 서버나 기업 수가 아닌 서비스 수다. 기존 버전에 보안 수정 사항을 별도로 적용한 환경도 포함됐을 수 있다.

포티넷은 기업이 PHP2Shell에 대응하기 위해 ▲영향받는 자산 파악 ▲보안 업데이트 테스트와 배포 ▲패치 전 임시 보호 조치 ▲침해 여부 조사 등 네 가지 절차를 진행해야 한다고 설명했다.

우선 인터넷에 노출된 PHP 서버와 외부 호스팅 환경, 컨테이너, PHP가 포함된 외부 업체 애플리케이션 등을 확인해야 한다. 각 환경의 PHP 버전과 패치 상태를 파악하고 담당자와 조치 일정을 정하도록 권고했다. 보안 업데이트 과정에서는 기존 서비스와의 호환성을 확인해야 한다. 업데이트를 설치한 뒤에는 PHP 프로세스와 컨테이너를 재시작하거나 교체하고, 실제 운영 환경에 수정 사항이 적용됐는지 점검해야 한다.

포티넷은 업데이트에 시간이 필요한 기업을 위해 가상 패치와 IPS, 웹방화벽을 활용한 임시 보호 조치도 제시했다. 가상 패치는 서버의 소프트웨어를 직접 수정하지 않고 네트워크 트래픽에서 알려진 공격을 탐지·차단하는 방식이다.

포티넷의 보안 연구조직 포티가드랩(FortiGuard Labs)은 이번 취약점에 대응하는 가상 패치와 IPS 탐지 규칙을 배포했다. 다만 이러한 조치는 일부 공격 경로를 차단할 뿐 PHP 자체의 취약점을 해결하지는 못한다. 보안 업데이트 이후에는 침해 흔적도 점검해야 한다. 의심스러운 웹 요청과 비정상적인 프로세스 실행, 애플리케이션 파일 변조, 외부로 향하는 비정상적인 통신 등이 주요 확인 대상이다.

포티넷은 취약점 패치를 적용하더라도 이미 서버에 침투한 공격자나 설치된 악성코드가 자동으로 제거되지는 않는다고 강조했다. 침해가 의심되면 증거를 보존하고 노출된 계정정보와 공격자의 접근 유지 수단 등을 추가로 조사해야 한다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network