한국인터넷진흥원(KISA)이 국내에서도 사용되는 네트워크 저장장치(NAS) 제조사 시놀로지(Synology)의 일부 제품에 영향을 미치는 PHP 취약점과 관련해 보안 업데이트를 권고했다.

30일 보안업계에 따르면, 대만 NAS 제조사 시놀로지의 제품 보안 사고 대응팀(PSIRT)는 정밀조사 결과 프로그래밍 언어 PHP에서 발견된 보안 취약점(PHP2Shell, CVE-2026-109618·CVE-2026-109619)이 자사 일부 애플리케이션이 영향받는 것을 확인했다며 PHP 보안 업데이트를 배포했다.

NAS는 네트워크로 여러 기기에서 사진이나 문서 등 파일을 저장하고 열어볼 수 있도록 만든 저장장치다. 인터넷이나 사내 네트워크에 연결해 사용하는 파일 서버라고 할 수 있다.

시놀로지는 특정 PHP 의존성 패키지를 실행하는 시스템에만 해당 취약점이 영향을 미치는 것으로 확인했다며, 모든 애플리케이션이 영향을 받는 게 아니라는 점을 분명히 했다.

KISA에 따르면 PHP 7.3~8.4의 특정 버전과 시놀로지 캘린더, 메일 스테이션이 PHP2Shell을 악용한 공격에 노출될 수 있다.

이에 KISA는 각 제품에 맞는 보안 업데이트를 적용하도록 권고했다. 시놀로지 캘린더는 3.0.4-21435 이상으로, 메일 스테이션은 30000002.3.19-20333 이상의 버전으로 업데이트해야 한다.

PHP 역시 NAS 운영체제인 DSM(DiskStation Manager) 버전에 따라 수정 버전이 다르므로, 사용 중인 환경에 맞는 패치를 적용해야 한다. PHP 7.3은 지원이 종료돼 별도의 수정 버전이 제공되지 않으므로 지원되는 버전으로 이전해야 한다.

시놀로지는 지원이 종료된 구형 운영체제 이용자를 위한 보안패치를 제공했다. 시놀로지는 PHP2Shell 취약점에 대응해 최신 DSM뿐 아니라 지원이 종료된 DSM 7.2 이하 버전에도 PHP 보안 업데이트를 배포했다.

한편 시놀로지는 DSM 운영체제에 내장된 PHP는 외부 공격에 노출되는 공격 표면에 포함되지 않는다며 취약점 악용 위험이 매우 낮다고 평가했다. 다만 별도 패키지로 설치된 PHP와 관련 애플리케이션은 영향받는 버전을 확인하고 보안 업데이트를 적용해야 한다.

sumin02@news1.kr