'정상 응답' 뒤에 숨은 공격
최근 PHP에서 원격 코드 실행이 가능한 PHP2Shell 취약점이 확인되면서 웹 보안에 비상이 걸렸습니다. 데이터독 연구진은 메모리 할당 실패를 유도해 공격 명령을 실행하는 실험을 재현했는데, 서버는 공격 뒤에도 HTTP 200 응답을 보냈습니다. 홈페이지가 정상적으로 열린다고 침해가 없다고 볼 수 없다는 뜻입니다.
외부에서는 응답 코드만으로 이상 여부를 판단하기 어렵습니다. 요청 로그와 메모리 부족 오류, 실제 실행된 프로그램을 함께 살펴야 합니다. 서버에 여러 PHP 버전이 있으면 패치한 버전과 실제 서비스 버전이 달라 취약점이 남을 수 있습니다. 패치 뒤에는 관련 프로그램을 재시작해야 합니다.
표적은 정부와 기반시설
싱가포르 보안업체 보고서에는 한국어를 쓰는 공격 집단이 PHP 취약점을 악용해 대규모 공격을 준비한 정황이 담겼습니다. 표적에는 한국과 미국, 일본, EU의 정부·금융기관뿐 아니라 항만·공항, 물류·제조업 같은 사회 기반시설도 포함됐습니다. 사전 검증에는 인공지능이 동원됐습니다.
보안업체는 한국어 지시와 운영 방식을 근거로 북한 정찰정보총국 산하 라자루스 연루 가능성을 제기했습니다. 다만 분석 신뢰도는 중간으로 평가했습니다. 정부는 취약점 공개 직후 보안 경보를 주의 단계로 올리고 대응을 강화했습니다.
Node.js까지 번진 불안
같은 시기 Node.js에서도 Node2Shell 취약점이 확인됐습니다. Brotli 압축 해제 모듈의 결함으로 인증 없이 조작된 데이터를 보내면 서버 중단과 메모리 유출, 원격 코드 실행이 가능합니다. 패치되지 않은 22·24·26 계열이 영향을 받으며 보안팀은 22.23.4, 24.22.1, 26.12.1 이상으로 업데이트하라고 권고했습니다.
티오리는 임시 완화 방안과 무료 진단 서비스를 내놨고, 로그프레소도 내부망 PHP 점검 스캐너를 공개했습니다. 보안 수요 확대 기대에 미국 크라우드스트라이트와 팔로알토, 국내 샌즈랩 주가가 올랐습니다. 취약점 대응이 기업의 운영 리스크와 투자 판단까지 건드리는 국면입니다.