[서울=뉴시스]윤정민 기자 = 웹 개발 언어 'PHP'의 치명적 취약점에 보안 업데이트를 설치했더라도 대응을 끝내서는 안 된다는 제언이 나왔다. 실제 웹서비스에 수정 사항이 적용됐는지 확인하고 이미 공격자가 침투했는지도 조사해야 한다는 설명이다.

포티넷은 'PHP2Shell' 취약점에 대응하기 위한 가이드를 공개했다고 27일 밝혔다.

PHP2Shell은 PHP로 작성된 프로그램을 실행하는 엔진에서 발견된 취약점 2건을 말한다. 공격자가 로그인 없이 외부에서 서버에 악성 명령을 실행할 수 있다. 웹사이트 구축 도구인 워드프레스나 여기에 붙이는 플러그인만 업데이트해서는 엔진 자체의 결함을 해결할 수 없다.

이번 취약점은 국제 보안 취약점 평가체계 'CVSS 4.0' 기준 10점 만점에 9.2점으로 '치명적' 등급에 해당한다. 공격에 성공하면 서버의 실행 권한과 구성에 따라 민감한 정보나 웹사이트 파일, 연결된 데이터베이스까지 노출될 수 있다.

포티넷은 영향받는 시스템 파악부터 업데이트 테스트·배포, 임시 보호 조치, 침해 여부 조사까지 네 가지 대응 절차를 제시했다.

포티넷은 인터넷에서 접근할 수 있는 PHP 서비스부터 찾아 우선 조치하도록 권고했다. 직접 개발한 웹사이트뿐 아니라 외부 업체가 관리하는 호스팅이나 PHP가 포함된 상용 프로그램도 점검 대상이다.

업데이트 이후에는 실제 운영 중인 웹서비스가 수정된 PHP를 사용하는지 확인해야 한다. 필요에 따라 PHP 실행 프로세스나 컨테이너를 재시작·교체하고 이전 프로세스가 모두 종료됐는지도 살펴야 한다. 업데이트 파일을 설치했어도 기존 프로세스가 계속 작동하면 수정 사항이 반영되지 않을 수 있다는 설명이다.

패키지의 버전 번호만으로 패치 여부를 판단하기도 어렵다. 운영체제나 애플리케이션 공급업체가 기존 버전을 유지하면서 보안 수정 사항만 반영하는 경우가 있어 해당 업체의 업데이트 내역을 확인해야 한다.

당장 패치하기 어렵다면 침입방지시스템(IPS)이나 웹 애플리케이션 방화벽으로 알려진 공격을 차단하고 외부 접근을 제한하도록 안내했다. 위험을 충분히 줄이기 어렵다면 서비스를 일시적으로 격리하는 방안도 제시했다. 다만 이런 조치는 PHP 업데이트를 대체하지 못한다고 강조했다.

침해 흔적 조사에서는 의심스러운 웹 요청과 비정상적인 프로그램 실행, 변조된 파일, 외부로 향하는 수상한 연결 등을 살펴야 한다. 침해가 의심되면 증거를 보존하고 공격자가 재접속을 위해 남긴 장치와 유출됐을 가능성이 있는 계정 정보도 조사해야 한다.

포티넷 산하 포티가드랩은 패치 준비 기간에 알려진 공격을 차단할 수 있도록 가상 패치와 IPS 탐지 규칙을 배포했다. 가상 패치는 시스템에 도달하는 통신을 검사해 공격을 걸러내는 방식으로 PHP 실행 엔진 자체를 수정하는 조치는 아니다.


◎공감언론 뉴시스 alpaca@newsis.com