인증 없이 서버를 넘기는 결함
PHP 런타임 자체에서 발견된 고위험 취약점 'PHP2Shell'이 국내외 보안 시장을 긴장시키고 있습니다. 별도 인증 없이 조작된 HTTP 요청만으로 원격 코드 실행이 가능한 결함인데요. 워드프레스, 드루팔, 줌라, 마젠토 등 오픈소스 기반 서비스가 고스란히 노출됩니다. 공격에 성공하면 웹셸 설치와 데이터베이스 탈취, 내부망 침투까지 이어질 수 있습니다.
CMS나 플러그인만 업데이트해서는 해결되지 않습니다. 서버에서 구동되는 PHP 런타임을 직접 패치해야 하는데, PHP 앱을 직접 개발하지 않은 조직도 호스팅 업체의 내장 구성 요소를 통해 사용 중이라면 대상이 됩니다. 팔로알토 네트웍스는 전 세계에서 인터넷에 노출된 취약 시스템이 2,260만 개를 넘는다고 집계했습니다.
3.9%라는 숫자
가장 큰 우려는 실제 공격 정황입니다. 미국 CISA는 해당 결함을 '실제 악용이 확인된 취약점' 목록에 올리고 연방 민간기관에 10월 29일까지 패치를 요구했습니다. 대응이 없으면 제품 사용을 중단하라는 명령까지 내려졌죠.
사이퍼마는 북한 연계 조직이 패치가 이뤄지지 않은 216개 서버를 표적으로 삼았다고 보고했습니다. 미국·한국·일본의 정부기관과 금융기관, 물류시설, 공항 등이 거론됩니다.
국내 상황도 녹록지 않습니다. 센시스 통계에 따르면 한국의 패치 적용률은 3.9%로 조사 대상 181위입니다. 확인된 서비스 50만 8,709개 가운데 패치된 곳은 1만 9,737개에 불과합니다. 패치 대상이 10만 개 이상인 국가 중에서는 홍콩(2.3%) 다음으로 낮습니다. 독일 31.6%, 일본 22.1%와 격차가 큽니다. 정부는 사이버 위기경보를 '주의'로 격상하고 KISA와 국정원을 통해 점검을 안내하고 있습니다.
패치 전 시간을 버는 방법
보안 업계는 정식 패치가 어려운 환경을 겨냥한 우회 대응책을 잇달아 내놓고 있습니다. 이스트시큐리티는 윈도우·리눅스용 무료 CLI 점검 도구를 배포했습니다. 로컬·원격·컨테이너·이미지 네 가지 방식으로 진단하고, PHP 5.4부터 8.5까지 지원합니다.
SGA솔루션즈는 서버백신 '브이이지스'와 '레드캐슬'을 연계한 2단계 가상패치를 한 달간 무상 제공합니다. 유입되는 공격 요청을 막고 커널 수준에서 웹 프로세스의 비정상 행위를 제한하는 방식입니다. 소스 코드를 고치지 않고도 패치 전까지 노출 위험을 줄일 수 있다는 설명입니다.
크리니티는 자사 메일 보안 솔루션 '스팸브레이커'가 자바 기반이라 직접 영향권은 아니라고 밝혔습니다. 정식 업데이트가 최우선이지만, 구형 환경에서는 가상패치와 점검 도구로 시간을 버는 전략이 당분간 병행될 전망입니다.