서버 소프트웨어에 연이은 경고
최근 Node.js와 PHP에서 원격 공격으로 이어질 수 있는 치명적 취약점이 잇따라 확인됐습니다. 서버 운영 기업과 공공기관은 패치 적용과 임시 차단 조치를 서둘러야 하는 상황인데요. 특히 별도 인증 없이 공격이 가능한 결함이 포함돼 있어, 웹 서비스 전반의 보안 점검이 필요하다는 지적입니다.
Node.js의 Brotli 압축 해제 모듈에서 발견된 노드투쉘 취약점은 조작된 압축 데이터를 처리할 때 메모리 경계를 넘어서는 문제를 일으킵니다. 서비스 정지뿐 아니라 정보 유출과 원격 명령 실행으로 서버가 장악될 수 있다는 점이 핵심입니다. 취약 대상은 Node.js 22, 24, 26 계열이며, 22.23.4와 24.22.1, 26.12.1 이후 버전으로 업데이트해야 합니다. 지원이 끝난 20 이하 버전은 운영체제나 장기지원 업체의 패치를 별도로 확인해야 합니다.
PHP 취약점과 국내 대응
PHP에서는 파일 업로드 과정에서 발생하는 취약점 두 건이 공개됐습니다. CVSS 9.2점의 치명적 등급으로, 공격자는 로그인 없이 악성 코드를 실행할 수 있습니다. 국내에서는 패치 관리가 끝난 취약 버전의 PHP 서버가 약 11만 건으로 세계 6번째 수준이며, 실제 업데이트 비율은 10%에 그친 것으로 전해집니다.
주요 금융기관은 보완 조치를 완료했거나 진행 중이지만, 영세 쇼핑몰과 구형 웹호스팅 환경은 버전 전환 자체가 부담인 경우가 많습니다. 해외에서는 네덜란드와 독일, 프랑스 등 정부 기관이 홈페이지를 일시 중단했고, 일본은 AI 전담팀을 꾸렸습니다. 국내에서도 한국인터넷진흥원이 민간 분야 사이버위기 경보를 관심에서 주의로 올렸습니다.
패치 속도가 관건
티오리는 노드투쉘을 자체 재현해 무료 진단 서비스를 내놓았고, Nginx나 Apache 같은 프록시에서 압축 해제 요청을 차단하는 임시 대응책도 안내했습니다. 즉시 업데이트가 어려운 곳은 외부 데이터 요청 경로를 제한하는 방식으로 공격 경로를 줄일 수 있습니다.
문제는 취약점 공개와 악용 시도 사이의 간격이 갈수록 짧아진다는 점입니다. 서버 보안은 이제 최신 버전 유지와 노후 시스템 교체를 함께 끌고 가야 하는 과제가 됐습니다. 정부와 기업이 패치 적용을 독려하는 동시에, 영세 사업자가 실제로 대응할 수 있는 지원책을 마련할지가 향후 관건입니다.