PHP 프로젝트(The PHP Group)는 지난 10월 21일 보안 취약점 2건을 해결한 수정 버전을 배포했다. 해당 취약점의 CVSS 점수는 9.2로, 특정 조건에서 인증 없이 서버에서 임의의 코드를 실행할 수 있는 것으로 알려졌다. PHP는 웹사이트 개발에 널리 사용되는 서버 측 프로그래밍 언어다.
CISA는 10월 26일 해당 취약점의 실제 악용 사례를 확인하고 KEV 목록에 등재했다. 연방 민간기관에는 10월 29일까지 조치를 완료하도록 기한을 제시했다. 보안 업계에서도 취약점 공개 이후 악용 시도가 관측됐다고 보고했다.
국내 주요 호스팅사 A사는 취약점 공개 당일 보안 조치 내용을 공지했다. 공지에 따르면 PHP 5.4 이상 전체 서비스에 임시 보안 설정을 적용하고, PHP 8.2·8.4·8.5 계열 서비스에는 공식 보안 패치를 순차적으로 적용했다. 다만 PHP 8.1 이하 버전은 공식 지원이 종료돼 정식 보안 패치 대상에서 제외됐다. 호스팅사별 백포트(기존 버전에 보안 패치를 적용하는 작업) 적용 여부도 다를 수 있어 별도 확인이 필요하다. 임시 보안 설정은 위험을 낮추기 위한 조치로, 완전한 해결책은 아니다.
와커스는 지난 10월 22일 관리 중인 고객사 호스팅 계정의 PHP 버전을 확인했다. 이어 23일 각 홈페이지의 서버 버전과 호스팅사별 보안 조치 내용, 운영 시 유의 사항을 정리해 고객사에 개별 안내했다. CISA의 KEV 등재 이후에는 추가 대응이 필요한 고객사를 대상으로 패치 적용 여부를 재확인하고, 버전 업그레이드 등 후속 관리 방안을 협의했다.
와커스 관계자는 “같은 보안 공지라도 홈페이지마다 서버 버전이 달라 해당되는 내용이 다르다”며 “고객사가 자사 홈페이지의 현재 상황을 파악할 수 있도록 고객사별로 내용을 정리해 안내했다”고 말했다.
와커스는 신규·개편 홈페이지에 차세대 웹 프레임워크인 Next.js 기반 구조도 제안하고 있다. Next.js는 React 기반 프레임워크로, 서버와 연동 시스템에서 PHP를 사용하지 않는 구성이라면 이번 PHP 취약점의 직접적인 영향 대상에 해당하지 않는다. 다만 Next.js 역시 자체 보안 업데이트와 버전 관리가 필요하다. 와커스는 다수의 병·의원 홈페이지를 Next.js 기반으로 구축한 사례를 보유하고 있다.
와커스 관계자는 “웹 기술 환경이 빠르게 변화하는 만큼 홈페이지도 보안 업데이트와 관리가 쉬운 구조로 전환하는 것이 중요하다”며 “고객사별 운영 환경과 상황에 맞춰 단계적인 전환 방안을 제안하겠다”고 밝혔다.
