[서울=뉴시스]윤정민 기자 = 웹 개발 도구 '리액트(React)'에서 심각한 보안 취약점이 발견되자 국내 보안업체 엔키화이트햇이 이를 점검할 수 있는 무료 스캐너를 긴급 공개했다. 웹사이트가 화면 정보를 사용자에게 전달하는 과정에 구조적 허점이 있어 해커가 로그인 없이도 서버에서 임의 명령을 실행할 수 있는 매우 위험한 상황이라는 판단에서다.

이 취약점은 국제 보안 등급인 '공통 취약점 등급 시스템(CVSS)'에서 최고 위험도인 10.0점을 받았다. 엔키화이트햇은 자사 보안 솔루션 사용 여부와 관계없이 모든 기업이 즉시 취약점 노출 여부를 확인할 수 있도록 무료 점검 도구를 제공하기로 했다.

엔키화이트햇은 자사 공격형(오펜시브) 보안 플랫폼 '오펜(OFFen)'에 리액트 서버 컴포넌트(RSC) 원격 코드 실행 취약점(CVE-2025-55182, CVE-2025-66478) 존재 여부를 검사하는 '리액트투쉘(React2Shell)' 스캐너를 추가했다고 9일 밝혔다.

◆국내외 기업 대부분 사용하는 웹 개발 도구에 취약점 발견

리액트는 메타가 개발한 오픈소스 기반 프론트엔드(화면) 개발 도구·프레임워크다. 즉 웹사이트 화면을 만드는 부품 세트로 쿠팡, 토스, 카카오페이 등 한국 기업뿐 아니라 페이스북, 인스타그램, 넷플릭스, 엑스 등 글로벌 기업도 사용 중이다.

이번에 문제가 된 '리액트투쉘' 취약점은 RSC 기능을 사용할 때 서버와 웹 브라우저가 화면 정보를 주고받는 '플라이트 프로토콜' 처리 과정에서 발생한 구조적 결함을 노린 것이다. 해커는 인증 과정 없이 악성 HTTP 요청만 보내도 서버에서 원하는 명령을 실행하게 만들 수 있다. 엔키화이트햇은 이 취약점이 원격 명령 실행을 통해 서버 장악으로 직결되는 심각한 위험을 초래한다고 말했다.

리액트가 전 세계 많은 기업에서 사용되는 만큼, 취약점이 악용될 경우 단일 서비스 문제가 아니라 글로벌 웹 생태계 전체가 영향을 받을 수 있다는 우려도 나온다.

이미 취약점이 공개된 지 불과 몇 시간 만에 중국 국가배후 해커조직으로 분류되는 어스 라미아(Earth Lamia)와 잭팟 판다(Jackpot Panda) 등이 리액트투쉘을 악용한 대규모 스캐닝과 침투 시도를 수행한 것으로 확인됐다. 취약점이 나온 지 몇 시간도 지나지 않아 전 세계 서버를 무작위로 스캔하며 공격 기회를 찾는 움직임이 포착됐다는 것이다.

◆컴퓨터 역사상 최악 취약점 '로그포제이' 재현 가능성에 스캐너 무료 배포

이에 보안업계에서는 2021년 '로그포제이(Log4j)·로그포쉘(Log4Shell)' 사태와 유사하게 대응 속도가 곧 피해 범위와 직결되는 것이라는 전망이 나온다. 인터넷 역사상 최악의 보안 결함으로 꼽히는 이 사태는 당시에도 취약점 공개 직후 전 세계 해커들이 즉시 공격에 나서면서 수많은 기업·기관의 서버가 뚫렸다.

엔키화이트햇은 이처럼 국내외 웹서비스 환경에 치명적인 영향을 미치는 고위험 취약점에 대해 고객이 위협될 수 있는 자산을 빠르게 파악할 수 있도록 오펜 내 공격 표면 관리(ASM) 긴급 스캐너를 통해 즉각 대응에 나섰다고 전했다.

오펜 서비스를 이용하지 않는 기업도 해당 취약점 노출 여부를 자체적으로 확인할 수 있도록 스캐너를 무상으로 외부에 공개·지원한다. 공격 표면 관리 ASM 긴급 스캐너 서비스에 접속 후 스캔 버튼만 누르면 취약점 노출 여부를 파악할 수 있다. 해당 스캐너는 '안전 스캔 모드'를 사용해 실제 시스템 명령을 실행하지 않고 취약점 여부를 판단하는 향상된 탐지·검증 기능을 제공한다.

엔키화이트햇은 앞으로도 국민과 기업의 안전에 중대한 영향을 미칠 수 있는 고위험 취약점이 발견될 경우 공격자가 악용하기 이전에 고객들이 신속하게 위험을 식별하고 조치할 수 있도록 선제적이고 신속한 대응방안 제공·공개를 약속했다.

이성권 엔키화이트햇 대표는 "웹 개발 환경이 오픈소스 기반으로 급변하면서 단 하나의 취약점도 기업에 심각한 타격을 줄 수 있는 상황"이라며 "엔키화이트햇은 앞으로도 국내 기업 환경에 특화된 공격 표면 및 취약점 탐지 서비스와 심층 보안 점검을 오펜을 통해 지속적으로 제공할 것"이라고 말했다.


◎공감언론 뉴시스 alpaca@newsis.com