홈페이지를 구동하는 데 널리 쓰이는 프로그램인 PHP가 윈도용 보안 업데이트를 추가로 내놨다. 앞서 보안 문제를 수정한 지 닷새 만이다. PHP에 함께 들어 있는 데이터 압축 도구에서 별도의 결함이 확인됐기 때문이다.
PHP 개발팀은 26일(현지 시간) PHP 8.2~8.5 계열의 윈도용 수정 패키지를 공개했다. 이번에는 ‘브로틀리(Brotli)’라는 압축 도구를 보안 문제가 해결된 버전으로 교체했다.
브로틀리는 인터넷으로 주고받는 데이터의 크기를 줄이는 도구다. 큰 짐을 작게 포장해 보내고 도착한 곳에서 다시 푸는 것처럼, 데이터를 압축해 전송한 뒤 원래 상태로 되돌리는 데 사용된다.
문제는 압축된 데이터를 다시 푸는 과정에서 발생했다. 공격자가 악의적으로 만든 데이터를 처리하면 프로그램이 사용하는 메모리가 손상되고, 공격자가 원하는 코드가 실행될 수 있는 결함이 발견됐다.
◈여러 프로그램이 함께 쓰는 도구에서 문제 발생
‘HTTP2Shell’로 알려진 이번 보안 문제는 PHP만의 오류가 아니다. 여러 프로그램이 공통으로 사용하는 브로틀리에서 비롯돼, 같은 도구를 포함한 다른 프로그램도 영향을 받았다.
앞서 노드JS와 파이썬 관련 프로그램에서도 같은 취약점이 확인됐다. 서로 다른 제품에 들어간 공통 부품에 문제가 생겨 제품별로 수리가 필요해진 상황과 비슷하다.
다만 윈도용 PHP를 사용하는 모든 홈페이지가 똑같이 위험에 노출되는 것은 아니다. PHP 개발팀은 외부에서 받은 데이터를 자동으로 압축 해제하는 기능을 켠 경우 문제가 있는 코드가 실행될 수 있다고 설명했다.
이 기능은 기본적으로 꺼져 있지만 홈페이지나 연결된 프로그램이 필요에 따라 켤 수 있다. 따라서 홈페이지 운영자는 실제 사용 설정과 설치된 패키지를 함께 확인해야 한다.
◈일반 이용자보다 홈페이지 운영자의 확인이 중요
이번 업데이트는 주로 윈도 서버에서 PHP로 홈페이지나 서비스를 운영하는 관리자가 확인해야 할 사항이다. 일반 이용자가 웹사이트에 접속했다는 이유만으로 자신의 컴퓨터에 PHP 수정본을 설치해야 한다는 뜻은 아니다.
새 수정본은 패키지명 끝에 붙은 ‘-1’로 구분했다. 해당 버전은 PHP 8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1이다. PHP 자체의 버전은 그대로 두고, 함께 제공되는 압축 도구를 교체한 것이다.
이 때문에 앞서 보안 업데이트를 마쳤더라도 이번 수정까지 반영됐다고 단정할 수 없다. 홈페이지 운영자는 PHP 공식 다운로드 페이지에서 새 패키지를 확인하고, 자신이 사용하는 윈도용 PHP에 추가 수정이 적용됐는지 점검해야 한다.
▶ 기사제보 및 보도자료 press@cdaily.co.kr
- Copyright ⓒ기독일보, 무단전재 및 재배포 금지
