PHP 취약점 공격 현실화…긴급 패치에도 업데이트 어려운 이유

웹사이트 개발에 널리 쓰이는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견된 이후 실제 서버 침해 사례까지 확인됐다. 그러나 국내 인터넷에 공개된 PHP 서비스 가운데 수정 버전으로의 전환이 확인된 비율은 3.9%에 그쳤다. 오래된 웹사이트와의 호환성 문제와 기업 내부에 남아 있는 구형 시스템 등이 업데이트를 어렵게 만드는 주요 요인으로 꼽힌다.

30일 보안업계에 따르면, 이스라엘 보안기업 드림의 연구조직 드림 리서치는 최근 ‘PHP2Shell’ 취약점을 악용한 공격으로 방화벽 24대와 내부 관리 서버 1대가 침해된 정황을 확인했다. 공격자는 PHP 취약점과 리눅스 운영체제의 권한 상승 취약점을 연계해 서버의 최고 관리자 권한을 확보했다.

연구진이 확보한 공격 기록에 따르면 공격자는 인터넷에 공개된 방화벽 약 1만9000대를 탐색했다. 이후 한국과 미국, 일본, 대만에 있는 장비 240대를 공격 대상으로 선정했다. 침해된 장비 가운데는 미국 정부 관련 기관의 방화벽과 내부 관리 서버도 포함됐다. 다만 한국에서 실제 침해된 장비가 몇 대인지는 확인되지 않았다.

국내 PHP 서비스의 업데이트 현황도 우려를 키우고 있다. 미국 보안기업 센시스가 지난 27일 공개한 집계에 따르면 국내에서 취약한 PHP 버전 사용 이력이 확인된 서비스는 50만8709개다. 이 가운데 수정 버전으로 전환한 것으로 확인된 서비스는 1만9737개로 3.9%에 그쳤다. 미국(23.6%), 일본(22.1%)보다 낮은 수준이다.

패치 적용해도, 버전 변경은 별개 문제

국내 주요 웹호스팅 업체들은 이번 취약점에 대한 긴급 보안 조치를 완료했다고 밝혔다. 다만 취약점을 수정하는 보안 패치와 PHP를 상위 버전으로 전환하는 작업은 구분해야 한다고 강조했다. 기존 웹사이트의 호환성 문제로 버전 변경이 쉽지 않다는 설명이다.

가비아는 지난 22일 새벽부터 웹호스팅 서버를 대상으로 긴급 패치 작업을 진행했다. 공식 보안 업데이트가 제공되는 버전에는 수정 버전을 적용했고, 지원이 종료된 구버전에는 백포트 패치나 취약점 완화 조치를 시행했다. 가비아는 웹호스팅에서 제공하는 PHP 버전 가운데 이번 취약점의 영향을 받는 버전에 대한 보안 조치를 완료했다고 밝혔다.

가비아 관계자는 “보안 패치 적용과 PHP 버전 업그레이드는 구분해서 볼 필요가 있다”며 “보안 패치는 기존 버전의 취약점을 수정하는 작업인 반면 상위 버전으로의 전환은 웹사이트의 실행 환경을 변경하는 작업”이라고 설명했다.

PHP 버전을 변경하면 기존 웹사이트의 코드나 플러그인, 테마가 정상적으로 작동하지 않을 수 있다. 경우에 따라서는 웹사이트 소스코드를 수정해야 한다. 호스팅 업체가 모든 고객의 PHP 버전을 일괄적으로 변경하기 어려운 이유다.

카페24도 취약점 공개 직후 사전 완화 조치를 적용하고 공식 패치와 추가 패치를 적용했다고 밝혔다. 다만 고객이 직접 개발하거나 외부 업체에 맡긴 웹사이트는 상위 버전으로 전환하기 전에 호환성을 검증해야 한다고 설명했다. 카페24 관계자는 “사이트 소스 코드는 고객 고유의 자산이므로 플랫폼이 임의로 수정할 수 없다”며 “고객사에서도 자체 구축 소스나 제작 개발사를 통한 사전 호환성 점검 기간이 필요할 수 있다”고 말했다.

실제로 공식 지원이 종료된 PHP 버전은 수정 버전으로의 전환 속도도 느린 것으로 조사됐다. 보안기업 비트사이트가 지난 29일 공개한 분석에 따르면 PHP2Shell 패치 배포 이후 일주일 동안 공식 지원 버전인 PHP 8.2~8.5를 사용하던 호스트의 68.6%가 수정 버전으로 전환했다. 반면 지원이 종료된 PHP 8.1 이하 버전에서는 전환 비율이 6.4%에 그쳤다. 이 조사 역시 외부에서 확인한 PHP 버전을 기준으로 한다.

PHP 기반 장비도 취약, 오래된 시스템 관리가 문제

기업 내부에서 오랫동안 운영해 온 PHP 기반 시스템도 취약점 대응을 어렵게 만드는 요인이다. 외부에 공개된 주요 웹사이트와 달리 내부 업무용 시스템이나 사용 빈도가 낮은 서비스는 별도 개선 없이 운영되는 경우가 있기 때문이다.

국내 보안기업 지니언스는 자사 클라우드 기반 네트워크접근제어(NAC) 플랫폼에 연결된 장비 식별 데이터를 분석한 결과, 내부망에서 PHP를 구동하는 장비의 96%를 PHP2Shell 취약 장비로 분류했다고 밝혔다. 취약 장비 중 78%는 PHP 공식 지원이 종료된 8.1 이하 버전을 사용하고 있었다. 2018년 지원이 종료된 PHP 5.x 이하 버전의 비중도 48%에 달했다.

지니언스가 식별한 장비의 89%는 외부 인터넷 검색 도구로 접근할 수 없는 사설 인터넷주소(IP) 대역에 있었다. 장비 유형도 일반 서버 외에 폐쇄회로텔레비전(CCTV)·영상저장장치와 보안 솔루션, 사물인터넷(IoT) 기기 등으로 다양했다.

태니엄도 내부망에 남아 있는 구형 시스템을 주요 관리 과제로 꼽았다. 강두원 태니엄 이사는 “이번 PHP 취약점 대응 과정에서 주요 홈페이지보다 소규모 부가 서비스나 10년 전에 도입한 내부 시스템에 PHP가 사용되는 사례를 예상보다 많이 확인했다”고 설명했다. 이는 업무 중요도가 낮거나 추가 개발 필요성이 없어 과거에 구축한 환경을 그대로 유지한 시스템들이다. 이러한 시스템은 발견하더라도 즉시 업데이트하기 어렵다. 오래된 PHP 버전으로 개발된 프로그램은 상위 버전으로 변경했을 때 어떤 문제가 발생할지 예측하기 어렵기 때문이다.

태니엄에 따르면, 일부 기업은 사용하지 않는 시스템의 운영을 중단하고 업무에 필요한 시스템부터 패치 적용 방안을 검토하고 있다. 중견·중소기업은 시스템 교체에 필요한 비용도 부담이다. 오래된 웹사이트나 업무용 프로그램을 새로 개발해야 할 수 있기 때문이다.

지니언스도 내부망 장비를 정확하게 식별하는 작업이 우선이라고 강조했다. 김계연 지니언스 미국법인장 겸 최고기술책임자(CTO)는 “내부망에 위치한 관리형 장비들은 웹 콘솔 응답 데이터 및 내장 구성요소를 정밀 식별해야만 PHP 구동 여부를 파악할 수 있다”며 “제조사 지원이 끝나 패치를 적용할 수 없는 장비는 교체 전까지 네트워크 접근을 차단하거나 격리해야 한다”고 설명했다.

방화벽·NAS에도 PHP 내장, 제조사 패치 확인해야

PHP 취약점의 영향은 일반 웹서버에 그치지 않는다. 방화벽과 네트워크 연결형 저장장치(NAS) 등 PHP를 내장한 제품도 점검해야 한다.

한국인터넷진흥원(KISA)은 지난 29일 팔로알토네트웍스의 방화벽 운영체제 ‘PAN-OS’와 시놀로지의 일부 NAS 패키지에 대한 보안 업데이트를 권고했다. 두 회사는 PHP2Shell 취약점을 해결한 제품별 업데이트를 공개했다.

이러한 제품은 일반 웹서버처럼 PHP만 별도로 업데이트하기 어려울 수 있다. 제조사가 제품에 포함된 PHP를 관리하기 때문에 장비의 운영체제나 설치된 패키지에 맞는 보안 업데이트를 적용해야 한다.

시놀로지는 일부 지원 종료 운영체제에도 PHP 취약점을 수정한 업데이트를 제공했다. 팔로알토네트웍스도 PAN-OS 버전별로 다른 수정 버전을 제시하고 있다.

KISA는 네트워크 장비의 관리 화면과 PHP가 포함된 설치 패키지, 컨테이너 환경까지 점검하도록 권고했다. 장비나 솔루션에 PHP가 내장된 경우에는 해당 제조사가 제공하는 보안 업데이트를 확인해야 한다.

긴급 패치와 함께 구버전 전환 계획도 필요

보안업계는 공식 패치를 신속히 적용하되, 즉시 업데이트할 수 없는 시스템에는 임시 완화 조치를 병행할 것을 권고하고 있다. 웹방화벽을 통한 악성 요청 차단과 외부 접근 제한 등이 대표적이다. 사용하지 않는 시스템은 운영을 중단해 공격에 노출되는 범위를 줄일 수 있다.

상위 버전으로 전환할 때는 기존 웹사이트의 호환성을 충분히 검증해야 한다. 가비아는 콘텐츠관리시스템(CMS)과 플러그인의 지원 버전을 확인하고 데이터를 백업할 것을 권고했다. 카페24는 상위 버전 전환 후 문제가 발생하면 48시간 이내 무료로 이전 환경으로 복구할 수 있는 기능을 제공하고 있다.

보안 업데이트 이후에는 실제 실행 중인 PHP 버전도 확인해야 한다. KISA는 업데이트를 적용한 뒤 관련 서비스를 재시작하고 취약점 공개 이후의 서버 기록을 점검하도록 권고했다. 침해 정황이 발견된 시스템은 관련 기록과 증거를 먼저 확보해야 한다.

공식 지원이 종료된 PHP 버전은 향후 새로운 취약점이 발견돼도 수정 버전이 제공되지 않을 수 있다. 이번 취약점에 대한 긴급 조치와 별개로 구형 시스템을 정리하고 지원 버전으로 전환하는 작업도 필요하다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network