티오리, PHP 취약점 긴급 대응 가이드 공개…"보안 패치 필수"

[서울=뉴시스]윤정민 기자 = 웹사이트 구동에 쓰이는 'PHP'에서 로그인 없이 서버를 장악할 수 있는 취약점이 공개되자 티오리가 기업·기관을 위한 긴급 대응 가이드를 내놨다. 당장 업데이트하기 어려운 환경을 위한 임시 조치도 제시했지만 완전한 방어를 위해서는 보안 패치가 필요하다고 강조했다.

티오리는 PHP 취약점 'PHP2Shell' 2건을 자체 재현·검증하고 대응 방안을 공개했다고 22일 밝혔다.

티오리에 따르면 이번 취약점은 개별 웹 애플리케이션 구현 코드가 아닌 PHP 엔진 자체 결함에서 발생한다. 공격자는 별도 인증 없이 원격으로 서버에서 임의 코드를 실행하거나 실행 중인 프로그램 메모리를 읽을 수 있다.

취약점 위험도 평가체계인 CVSS 4.0 기준 점수는 9.2점으로 '치명적' 등급이다.

회사는 공식 보안 권고에 앞서 취약점 악용 가능성을 보여주는 개념증명(PoC) 시연 영상과 패치가 적용된 실행 파일이 유출됐다고 설명했다. 이를 토대로 공격 코드가 확산할 수 있어 신속한 조치가 필요하다고 말했다.

티오리는 즉시 업데이트하기 어려운 경우 적용할 임시 완화책과 설정 확인 스크립트도 공개했다. 다만 임시 조치는 세션 기능 오류 등을 일으킬 수 있고 취약점을 완전히 막지는 못한다고 설명했다.

임준오 티오리 AI·사이버 연구팀 수석연구원은 "PoC가 빠르게 퍼지고 있는 만큼 운영체제(OS) 배포판별 패치 유무를 즉시 확인해 최신 버전으로 올리고 패치 전까지는 티오리가 공개한 임시 완화책과 점검 스크립트를 적용해 설정 상태와 침해 여부를 즉시 확인해야 한다"고 말했다.

한편 PHP 취약점 공개 여파로 국내에서도 긴급 보안 대응이 이어지고 있다. 한국인터넷진흥원(KISA)은 지난 21일 보안 업데이트를 권고하고 공식 보안 지원이 끝난 PHP 8.1 이하 버전은 지원 중인 버전으로 업그레이드하도록 안내했다.


◎공감언론 뉴시스 [email protected]