인증 없이 서버 장악 가능한 PHP 취약점…티오리, PoC 확산에 대응 시급

[경제일보] 웹사이트 구동에 널리 쓰이는 PHP 엔진에서 인증 없이 서버에 임의 코드를 실행할 수 있는 고위험 취약점이 발견되면서 국내 기업과 기관의 보안 대응에 비상이 걸렸다. 공격 가능성을 입증하는 개념증명(PoC) 코드가 확산할 경우 실제 공격으로 이어질 수 있는 만큼, 취약한 PHP 버전을 사용하는 서버를 찾아 보안 업데이트를 적용하는 것이 시급한 것으로 평가된다. 국내 보안기업 티오리는 해당 취약점의 공격 재현과 검증을 마치고 긴급 대응 가이드를 공개했다.

22일 티오리는 최근 공개된 PHP 엔진 취약점 'PHP2Shell'을 자체 재현·검증하고 기업과 기관을 위한 긴급 대응 방안을 제시했다고 밝혔다. 이번 취약점은 공통취약점평가시스템(CVSS) 4.0 기준 9.2점으로, 인증 없이 원격 코드 실행이 가능해 서버 장악이나 민감 정보 유출로 이어질 수 있는 것으로 알려졌다.

PHP2Shell의 위험성은 특정 웹사이트의 개발 코드나 플러그인에 국한되지 않는다는 것이 특징이다. PHP 엔진 자체의 결함을 악용하는 방식이어서 웹 애플리케이션의 구현 상태와 관계없이 취약한 실행 환경이 공격 대상이 될 수 있다. 공격자는 서버에서 임의 코드를 실행하거나 프로세스 메모리에 접근해 내부 정보를 탈취할 수 있다.

티오리는 취약점 공개 이후 공격 코드가 빠르게 확산할 가능성에 주목하고 있다. 공식 보안 권고가 발표되기 전 PoC 시연 영상과 패치가 적용된 바이너리가 유출되면서, 이를 바탕으로 공격 코드를 제작하려는 시도가 이어질 수 있다는 분석이다. 티오리 연구팀은 직접 공격 코드를 재현하고 검증한 결과, 다른 공격자들도 유사한 방식의 익스플로잇을 만들어 유포하는 것은 시간문제일 수 있다고 판단했다.

PoC는 취약점이 실제로 악용될 수 있음을 보여주는 코드나 시연 자료다. 공격자가 이를 활용하면 취약점의 원리를 처음부터 분석하는 데 드는 시간을 줄일 수 있다. 이에 기업들은 공격 시도와 침해 여부를 구분해 확인하는 동시에, 외부에 노출된 취약 서버를 우선적으로 점검해야 할 전망이다.

티오리는 PHP 엔진의 최신 보안 패치를 적용하는 것을 최우선 대응책으로 제시했다. 보안 업데이트 대상에는 PHP 8.2.34, 8.3.35, 8.4.26, 8.5.11 이하 버전이 포함되며, 수정 버전은 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12다. 지원이 종료된 PHP 8.1 이하 버전과 7.x·5.x 계열을 사용하는 환경도 별도 점검이 필요하다.

특히 기업이 웹사이트나 플러그인을 최신 상태로 유지하고 있더라도 기반 PHP 엔진이 취약한 버전이라면 위험이 남을 수 있다. 자체 서버를 운영하는 기업뿐 아니라 외부 호스팅 서비스를 이용하는 사업자도 실제 PHP 버전과 패치 적용 여부를 확인해야 한다. 클라우드나 외부 업체에 운영을 맡겼다는 이유만으로 취약점 대응이 완료됐다고 판단해서는 안 된다는 의미로 분석된다.

문제는 모든 시스템을 즉시 업데이트하기 어려운 환경이 존재한다는 점이다. 오래된 웹서비스는 PHP 버전을 올릴 경우 애플리케이션과의 호환성 문제가 발생하거나 서비스 운영에 차질이 생길 수 있다. 티오리는 이런 상황을 고려해 PHP 엔진 업데이트 전 적용할 수 있는 임시 완화 조치와 설정 확인 스크립트도 함께 공개했다.

다만 임시 조치는 근본적인 해결책이 아니다. 설정을 변경하는 과정에서 세션 기능 오류 등 부작용이 발생할 수 있고, 취약점을 완전히 차단하지 못할 가능성도 있다. 기업은 임시 조치를 적용하더라도 서비스 정상 작동 여부를 점검하고, 가능한 한 신속하게 공식 보안 패치를 적용해야 한다. 패치가 늦어지는 서버는 외부 접근 제한 등 추가적인 통제 방안을 검토할 필요가 있다.

이번 사태는 취약점 발견부터 공격 가능성 검증, 대응책 마련까지 이어지는 보안 연구 과정에서 인공지능(AI)의 역할이 커지고 있다는 점에서도 주목된다. AI는 코드의 취약한 부분을 찾아내는 데 그치지 않고, 복잡한 공격 경로를 분석하거나 공격 코드의 동작을 검증하는 과정에도 활용될 수 있다. 취약점 분석과 재현에 필요한 시간을 줄이는 동시에 공격자가 공개된 정보를 활용해 공격 코드를 제작하는 데도 도움을 줄 수 있다는 점에서 방어와 공격 양쪽의 기술 경쟁이 빨라질 수 있다.

임준오 티오리 AI·사이버 연구팀 수석 연구원은 "'PHP2Shell'은 애플리케이션 코드와 관계없이 서버 전체를 위험에 빠뜨릴 수 있는 최고 위험도의 취약점"이라며 "PoC가 빠르게 퍼지고 있는 만큼 OS 배포판별 패치 유무를 즉시 확인해 최신 버전으로 올리고, 패치 전까지는 티오리가 공개한 임시 완화책과 점검 스크립트를 적용해 설정 상태와 침해 여부를 즉시 확인해야 한다"고 말했다.