[서울=뉴시스]윤정민 기자 = 웹사이트 구동에 쓰이는 PHP에서 치명적 취약점이 발견되자 에버스핀이 자사 웹 보안 서비스 고객사에 공격 차단 규칙을 적용했다. 에버스핀은 공식 보안 패치가 나오기 전에 적용을 마쳤으며 시험 환경에서 공격 요청이 차단되는 것을 확인했다고 설명했다.

에버스핀은 PHP 취약점 2건에 대응하는 규칙을 '에버세이프 포 웹' 서비스형 소프트웨어(SaaS) 고객사에 적용했다고 22일 밝혔다.

회사는 공개된 기술 분석을 바탕으로 시험 환경을 구성해 '취약점 공격 대응' 기능을 검증했다. 웹 요청을 먼저 검사하는 게이트웨이에서 공격 요청을 걸러 고객사 서버의 PHP에 도달하지 못하게 하는 방식이다.

PHP는 기업 홈페이지와 온라인 쇼핑몰, 콘텐츠 관리 시스템 등에 쓰이는 서버 측 개발 언어다. 에버스핀에 따르면 이번 취약점은 원격에서 서버에 임의 코드를 실행하는 데 악용될 수 있다. 취약점 위험도 평가체계(CVSS) 점수는 9.2로 '치명적' 등급이다.

기업은 보안 패치가 공개돼도 사용하는 PHP 버전과 설정을 확인하고 기존 서비스와의 호환성을 점검한 뒤 적용해야 한다. 에버스핀은 이 기간에 고객사 서버를 수정하거나 재시작하지 않고 서버 앞단에서 공격 요청을 차단할 수 있다고 설명했다.

에버스핀은 웹 요청을 서버 앞단에서 검사하는 구조여서 자바와 PHP 등 개발 언어에 관계없이 적용할 수 있다고 밝혔다. 개발 환경 등의 제약으로 기존 자체 구축형 제품을 적용하기 어려웠던 서비스를 대상으로 클라우드 방식 도입 검토와 기술 지원을 확대할 계획이다.

한편 PHP 취약점 공개 여파로 국내에서도 긴급 보안 대응이 이어지고 있다. 한국인터넷진흥원(KISA)은 지난 21일 보안 업데이트를 권고하고 공식 보안 지원이 끝난 PHP 8.1 이하 버전은 지원 중인 버전으로 업그레이드하도록 안내했다.

◎공감언론 뉴시스 [email protected]

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지