전 세계 웹사이트와 온라인 서비스에서 널리 사용되는 프로그래밍 언어 PHP에서 치명적인 보안 취약점 2건이 발견돼 유럽 사이버보안 당국이 긴급 대응을 권고했다.
로이터통신에 따르면 PHP 개발진은 “2가지 심각한 보안 취약점을 해결하기 위한 긴급 업데이트를 배포할 예정”이라고 21일(현지시간) 밝혔다.
개발진은 이들 취약점의 심각도를 국제적으로 사용되는 ‘공통 취약점 평가 체계(CVSS) 4.0’ 기준 각각 9.2점으로 평가했다. 10점 만점에 9.2점은 최고 위험 등급인 ‘치명적'(Critical)에 해당한다.
유럽연합(EU) 컴퓨터긴급대응팀(CERT-EU) 또한 이들 취약점이 공격자에게 별도 로그인 절차 없이 원격으로 악성코드 실행 기회를 제공할 가능성이 있다고 경고했다.
이는 이른바 ‘원격 코드 실행'(RCE) 취약점으로서 실제 악용될 경우 공격자가 취약한 서버에서 프로그램을 실행하고 데이터를 탈취하거나 웹사이트를 변조할 수 있다는 게 EU 당국의 설명이다.
PHP는 워드프레스와 드루팔, 줌라, 마젠토 등에 쓰이는 웹사이트 구축·관리 소프트웨어 기반 기술로서 온라인 쇼핑몰부터 기업 홈페이지, 각종 웹서비스에 이르기까지 광범위하게 활용되고 있다.
EU 당국은 기관과 기업들에 “PHP 사용 시스템을 파악하고 보안 업데이트가 공개되는 즉시 적용할 수 있도록 준비하라”고 권고했다. 또 즉각적인 보안 조치가 어려운 경우엔 취약한 웹 애플리케이션을 외부 인터넷망에서 일시 분리 방안까지 검토하도록 했다.
호주 사이버보안센터(ACSC)도 비슷한 경고를 통해 PHP 기반 시스템 점검과 신속한 보안 업데이트를 촉구했다. 다만 호주 당국은 “현재까지 해당 취약점을 실제 악용한 공격 사례는 확인하지 못했다”고 밝혔다.
PHP 개발진은 협정세계시(UTC) 기준 이날 오후 2시(한국시간 오후 11시) 보안 업데이트를 공개할 예정이다. 정확한 취약점 내용과 영향을 받는 PHP 버전, 문제가 해결된 버전도 업데이트 배포와 함께 공개된다.
