(서울=뉴스1) 김민석 기자 = 웹사이트와 온라인 쇼핑몰 구축에 널리 쓰이는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견되면서 노후 시스템을 운영하는 중소기업과 소상공인의 대응 부담이 커지고 있다.
호스팅업체가 긴급 패치를 적용했더라도 공식 지원이 끝난 구버전을 상위 버전으로 전환하려면 기존 프로그램의 호환성 점검과 데이터 백업 등을 거쳐야 하기 때문이다.
26일 보안업계와 유럽연합 컴퓨터비상대응팀(CERT-EU)에 따르면 PHP 개발진은 이달 21일 오후 11시(한국시간) 원격 코드 실행 취약점 2건(CVE-2026-109618·CVE-2026-109619)을 수정한 보안 업데이트를 긴급 배포했다.
공통취약점평가체계(CVSS) 기준 위험도는 각각 10점 만점에 9.2점이다. 공격자가 로그인 등 인증 절차 없이 서버에서 임의 코드를 실행할 수 있는 취약점으로 'PHP2Shell'로 불린다.
최초 공개된 공식 수정 버전은 PHP 8.2.35·8.3.36·8.4.27·8.5.12다. 공식 지원이 끝난 PHP 8.1 이하 버전은 정규 업데이트 대상이 아니지만, PHP 보안팀이 7.4·8.0·8.1용 최소 소스 패치를 별도로 공개했다. 이에 공급업체들은 수정 내용을 구버전에 반영할 수 있다. 다만 이번 별도 패치가 구버전의 정규 보안 지원 재개를 뜻하지는 않는다.
문제는 국내의 다수 중소 쇼핑몰과 기업 홈페이지가 공식 보안 지원이 끝난 PHP 8.1 이하 구버전에 머물러 있다는 점이다. PHP 보안팀이 사안의 심각성을 고려해 구버전용 최소 소스 패치를 공개했지만, 장기적인 보안성을 확보하려면 상위 버전으로의 마이그레이션(환경 전환)이 불가피하다.
전자상거래 플랫폼·호스팅 기업 카페24(042000)는 취약점 정보가 처음 알려진 직후 공식 발표 전부터 관리하는 모든 서비스의 영향 여부를 점검했다고 했다. 공식 패치 배포 전에는 위험을 줄이는 완화 조치를 취했고, 패치 공개 후 적용을 완료했다는 설명이다.
남은 과제는 노후 프로그램의 호환성 점검이다. 구형 PHP 환경에 맞춰 작성한 코드는 상위 버전에서 오류가 발생할 수 있다. 호스팅업체가 서버 환경을 바꾸더라도 개별 홈페이지가 정상 작동하도록 코드를 수정·점검하는 작업은 별도로 필요하다.
카페24 관계자는 "개발진이 추가로 공개한 패치를 즉각 적용하고 공식 패치가 없는 일부 구형 버전에 대해서도 별도의 보완 조치를 완료했다"며 "웹방화벽 등 다층 방어 체계와 함께 이번 취약점에 대한 강화된 모니터링 체계를 운영하고 있다"고 말했다.
이어 "이는 고객의 소스 자산을 플랫폼이 임의로 수정하지 않고 보호하는 원칙에 따른 것으로 전환 과정의 기술 문의는 고객센터에서 지원한다"고 설명했다. 홈페이지 제작을 외부에 맡긴 사업자는 개발사와 프로그램 수정 범위 등을 협의해야 한다는 의미로 풀이된다.
전환 과정서의 데이터 보존도 중요하다. 일부 웹호스팅 상품은 PHP 버전을 바꿀 때 서버 자료와 데이터베이스, 서버 내부의 백업 파일이 삭제될 수 있다. 변경 전 자료를 외부에 내려받아 보관하고 전환 뒤 복원해야 한다. 자료를 복원한 이후에도 주요 화면과 게시판, 회원 로그인 등이 정상 작동하는지 확인해야 한다.
카페24는 이용자 부담을 줄이기 위해 상위 버전 상품으로의 전환 캠페인을 진행하고 있다.
카페24 관계자는 "변경 후 문제가 생길 경우에 대비해 48시간 이내 무료로 원래 환경으로 되돌릴 수 있는 원복 기능도 제공하고 있다"며 "원복 기능은 대상 상품과 이용 조건을 확인해야 한다"고 언급했다.
전환할 버전의 남은 지원 기간도 살펴야 한다. PHP 8.2의 공식 보안 지원은 올해 12월 31일 종료된다. 긴급 수정 버전을 적용한 뒤에도 다음 지원 종료에 대비한 운영 환경 정비가 필요한 셈이다.
과학기술정보통신부와 한국인터넷진흥원(KISA)은 이달 22일 정오부터 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 격상했다. 기업·기관에 보안 업데이트와 침해 흔적 점검을 요청하고, 즉시 조치하기 어려운 시스템은 인터넷에서 분리하거나 일시 중단하도록 권고했다.
CERT-EU 측은 "서버 설정을 바꾸는 임시 조치만으로는 완전한 안전을 보장할 수 없다"며 "즉시 수정하기 어렵다면 패치와 검증을 마칠 때까지 인터넷에 노출된 서비스를 외부망에서 격리하는 방안도 고려해야 한다"고 권고했다.
ideaed@news1.kr
