PHP 결함 뉴스, 우리 회사 홈페이지는 괜찮을까요

요즘 PHP 결함 뉴스가 계속 나오고 있습니다. 정부도 경보를 내렸고, 해외에서는 공공기관이 사이트를 잠시 닫기도 했습니다.

개발을 모르는 대표님 입장에서는 이런 질문이 먼저 드실 겁니다. "그래서 우리 회사 홈페이지는 괜찮은 건가?"

무슨 일인가요

PHP는 홈페이지를 만드는 데 가장 많이 쓰이는 도구 중 하나입니다. 워드프레스나 그누보드로 만든 사이트도 PHP로 돌아갑니다.

10월 21일, 이 PHP에서 큰 결함이 공개됐습니다. 밖에서 로그인 없이 사이트를 장악할 수 있는 결함입니다. 보안업체가 AI로 점검하다 찾아냈고, 10년 넘게 아무도 몰랐던 것이라 더 크게 다뤄지고 있습니다.

다행히 고친 버전이 바로 나왔습니다. 다만 오래된 버전에는 고친 버전이 나오지 않습니다.

대표님이 확인하실 것

직접 서버를 볼 필요는 없습니다. 홈페이지를 만든 업체나 관리 담당자에게 두 가지만 물어보시면 됩니다.

"우리 사이트, PHP로 만든 건가요?"

아니라면 이번 일과는 관계가 없습니다.

"그렇다면 PHP 버전이 최신인가요?"

최신 버전을 쓰고 있다면 업데이트만 하면 됩니다. 담당자에게 "이번 PHP 보안 업데이트를 적용해 달라"고 요청하시면 됩니다.

오래된 버전이라면 이야기가 달라집니다. 고친 버전이 나오지 않기 때문에, 따로 막는 조치가 필요합니다.

고칠 방법이 없는 사이트, 이렇게 지켰습니다

MVPIT은 결함이 공개된 다음 날, 오래된 PHP로 돌아가는 사이트 세 곳을 점검했습니다. 중고 도서 거래 플랫폼, 작품 공모전 커뮤니티, 회사 소개 홈페이지였습니다. 세 곳 모두 고친 버전을 받을 수 없는 오래된 버전이었습니다.

당장 새 버전으로 바꾸면 사이트가 멈출 수 있었습니다. 그래서 먼저 문을 잠그고, 지켜보는 쪽을 택했습니다.

• 공격에 쓰이는 통로를 막았습니다.
• 사진을 올리는 곳에 누가 나쁜 프로그램을 숨겨 두더라도 실행되지 않게 했습니다.
• 매일 누가 침입한 흔적이 없는지 자동으로 살피게 했습니다.
• 막은 뒤에는 앱, 관리자 화면, 사진 올리기를 직접 써 보며 사이트가 멀쩡한지 확인했습니다.

회사 소개 홈페이지는 사실상 바뀌지 않는 화면이라, 아예 공격받을 여지가 없는 단순한 페이지로 바꿨습니다.

결함이 알려진 직후 누군가 문을 두드린 흔적은 있었지만, 들어온 흔적은 없었습니다. 그래도 안심하기는 일러서 지금도 매일 살피고 있습니다.

이 일에서 AI는 자료를 찾고, 어디가 위험한지 판단하고, 기록을 살피고, 막는 설정을 만드는 데 쓰였습니다. 실제로 사이트에 적용할지는 사람이 결정했습니다.

막는 것은 시간을 버는 일입니다

문을 잠그는 건 급한 불을 끄는 일입니다. 근본적으로는 사이트를 지원이 계속되는 새 버전으로 옮겨야 합니다.

오래된 사이트일수록 옮기는 게 어렵습니다. 어디가 깨질지 미리 알기 어렵고, 결국 모든 기능을 하나씩 다시 써 봐야 하기 때문입니다.

"이 사이트 오래돼서 바꾸고 싶은데, 손대면 망가질까 봐 못 건드리고 있다"는 회사가 많습니다. 이번 일이 계기가 될 수 있습니다. MVPIT은 AI로 무엇이 영향을 받는지 먼저 파악하고, 사이트를 멈추지 않은 채 하나씩 옮기고, 기능마다 직접 써 보며 확인합니다.

우리 사이트가 이번 일에 해당되는지 모르겠거나, 오래된 서비스를 바꾸는 일을 상의하고 싶으시면 AI 자문의 상담 양식으로 편하게 연락 주세요.