전 세계 웹사이트의 핵심 언어인 PHP에서 미인증 원격 코드 실행(RCE)이 가능한 치명적인 보안 취약점 2건이 발견되었습니다. 이번 결함은 공격자가 로그인 없이 악성 코드를 실행해 시스템을 장악하거나 데이터를 탈취할 수 있는 위험을 포함하고 있습니다.
해당 취약점의 위험도는 CVSS 4.0 기준 10점 만점에 9.2점으로 '치명적' 등급에 해당합니다. 이에 PHP 개발진은 한국시간 21일 오후 11시에 보안 업데이트를 공개할 예정입니다.
에디터 분석
로그인조차 필요 없는 열린 문과 방치된 서버의 위험
공격자가 아이디와 비밀번호 없이도 서버에 침입해 명령어를 실행할 수 있는 미인증 원격 코드 실행 결함이 발견됐다. 이는 집 현관문이 잠겨 있지 않은 수준을 넘어, 벽에 커다란 구멍이 뚫려 누구나 들어와 집안의 가구를 옮기거나 귀중품을 가져갈 수 있는 상태와 같다.
소프트웨어의 취약점은 발견과 패치 사이의 시간 차를 이용해 공격이 이뤄진다. 특히 전 세계적으로 널리 쓰이는 언어일수록 그 영향력은 기하급수적으로 커진다. 최신 버전을 사용하는 곳은 패치로 해결되지만, 관리가 중단된 구형 버전의 사이트들은 패치 대상에서 제외되거나 적용이 늦어 공격자의 손쉬운 먹잇감이 된다.
경고음은 일제히 울렸지만 시선은 엇갈렸다
대부분의 매체가 취약점의 위험도 수치와 유럽연합의 경계령을 중심으로 신속한 업데이트를 촉구했다. 파이낸셜뉴스, SBS Biz, 연합뉴스, 뉴스1은 공통적으로 시스템 장악과 데이터 탈취 가능성을 경고하며 패치 적용이나 오프라인 전환이라는 대응책을 제시했다.
뉴시스는 단순히 업데이트를 권고하는 수준을 넘어, 실제 현장에서 누가 가장 위험한지를 구체적으로 짚었다. 방치된 홈페이지나 구형 버전을 쓰는 쇼핑몰 등 관리 사각지대를 명시하고, 패치 이후에도 웹셸 설치 여부를 확인해 침입 흔적을 찾아야 한다는 실무적인 점검 방안을 제시한 점이 돋보인다.
다만 뉴스1이 호주 사이버보안센터를 인용해 실제 악용 사례가 아직 확인되지 않았다고 언급한 점은 주목할 만하다. 공포 섞인 경고 속에서 현재의 실제 피해 상황을 구분해 전달함으로써 독자가 과도한 불안감보다는 차분한 대응을 하도록 도왔다.
