전 세계에서 널리 쓰이는 프로그래밍 언어 'PHP'에서 발견된 보안 취약점(PHP2Shell)과 관련해 보안 업데이트를 마쳤더라도 수정사항이 실제 적용됐는지, 침해 흔적이 있는지 등을 점검하는 등 추가 대응이 필요하다는 보안업계의 권고가 나왔다.

글로벌 네트워크 보안 융합 설루션 기업 포티넷은 PHP2Shell에 대한 대응 가이드를 27일 공개했다.

PHP2Shell(CVE-2026-109618, CVE-2026-109619)은 일부 서버에서 인증 없이 원격 명령을 실행할 수 있어 공격을 당하면 정보 유출 등의 피해로 이어질 우려가 있다.

포티넷은 취약점이 PHP 런타임 자체에 있으므로, 콘텐츠 관리 시스템(CMS)이나 플러그인만 업데이트해서는 해결되지 않는다고 밝혔다. 이어 영향받는 환경 파악, 업데이트 테스트와 배포, 임시 보호 조치, 침해 여부 조사 등 네 가지의 대응책을 제시했다.

첫 단계는 영향받는 환경을 파악하는 것이다. 외부 공격 표면 관리(EASM) 도구를 활용해 기존 자산 목록에서 빠진 것까지 포함해 인터넷에서 접근 가능한 자산을 찾고, 노출 가능성이 있는 PHP 서비스부터 조치해야 한다. 컨테이너, 매니지드 호스팅, PHP가 포함된 외부 업체 애플리케이션도 점검 대상이다.

이후에는 인터넷에 노출된 PHP 서버를 비롯해 외부에 노출된 환경부터 즉시 패치하라고 권고했다. 업데이트는 핵심 업무 기능과 함께 쓰는 구성요소에 문제가 없는지 테스한 뒤 배포하고, 영향을 받는 PHP 프로세스와 컨테이너는 필요에 따라 재시작하거나 교체해야 한다.

업데이트를 마친 후에도 실제 운영 중인 웹서비스에 패치된 버전이 적용됐는지, 이전 프로세스가 모두 종료됐는지 확인해야 한다.

패치를 준비하고 배포하는 동안에도 임시 보호 조치로 노출을 줄여야 한다. 알려진 공격을 네트워크에서 차단하는 가상 패치, 침입 방지 시스템(IPS), 웹 애플리케이션 방화벽(WAF)을 활성화하고, PHP 권고문에서 환경에 맞는 임시 설정 조치도 확인한다.

인터넷에 노출될 필요가 없는 시스템은 VPN이나 SASE 같은 보안 접속 환경 뒤에 두고, 가능하면 해당 시스템에 대한 접근을 제한할 것도 권고됐다.

침해 흔적 점검도 필요하다. 의심스러운 웹 요청, 예상치 못한 PHP 프로세스 충돌, 원인을 알 수 없는 프로세스 실행, 외부로 향하는 비정상적인 연결 등을 살펴야 한다.

포티넷 산하 포티가드랩은 PHP 업데이트를 진행하는 동안 노출을 줄일 수 있도록 PHP2Shell에 대응하는 가상 패치와 IPS 시그니처를 배포했다. 가상 패치는 네트워크 트래픽을 검사해 알려진 공격 기법을 찾아내고, 취약한 시스템에 닿기 전에 차단하는 방식이다. 다만 PHP 런타임 자체를 수정하거나 모든 경로를 차단하는 못하므로 PHP 업데이트를 대체하지는 않는다.

sumin02@news1.kr