에버스핀이 22일 자사 보안솔루션 고객사에 PHP 해킹 공격을 막는 차단 규칙을 적용했다고 밝혔다. 사진제공=에버스핀
인공지능(AI) 사이버보안 기업 에버스핀이 22일 프로그래밍 언어 PHP를 노린 공격을 막는 차단 규칙을 자사 웹 보안 솔루션 ‘에버세이프 포 웹(Eversafe for Web)’ 고객사에 적용했다고 밝혔다.
PHP는 기업 웹사이트와 콘텐츠 관리 시스템, 전자상거래 플랫폼 등 다양한 웹서비스에 쓰이는 개발 언어다. 최근 PHP에서 ‘부적절한 예외 상황 처리’(CVE-2026-109618)와 ‘해제 후 사용’(CVE-2026-109619) 등 2건의 취약점이 발견됐다.
이들 취약점은 외부에서 서버에 명령을 내리는 ‘원격 코드 실행’으로 이어질 수 있는 것으로 알려졌다. PHP 측이 매긴 위험도(CVSS)는 9.2로 ‘치명적’ 등급이다. 취약점을 고친 수정 프로그램(패치)보다 정보가 먼저 유출되자 PHP 보안팀은 21일(현지시간) 긴급 보안 업데이트를 배포했다.
에버스핀은 보안 솔루션 ‘에버세이프 포 웹’을 클라우드 방식으로 쓰는 고객사에 차단 규칙을 적용했다. 적용은 PHP 개발팀의 공식 패치가 나오기 전에 모두 끝났다.
회사는 시험 환경에서 공개된 기술 분석을 바탕으로 공격 요청을 보냈고, 이 요청이 ‘취약점 공격 대응’ 기능에서 차단되는 것을 확인했다고 밝혔다. 공격 요청은 고객사 서버에 닿기 전 앞단에서 걸러진다. 기존 고객에게 제공하던 보안 기능이 새로운 취약점 공격에도 바로 대응할 수 있음을 검증했다는 것이 회사 측의 설명이다.
패치가 나와도 서비스에 적용하려면 시간이 걸린다. PHP 버전과 설정을 확인하고 기존 기능에 영향을 주는지 점검해야 하기 때문이다. 보안 지원이 끝난 PHP 8.1 이하 버전은 공식 패치가 제공되지 않아 버전 업그레이드까지 필요하다. 패치를 적용하기 전까지 공격에 노출되는 위험을 줄이는 것이 중요한 이유다.
에버스핀은 자사 ‘취약점 공격 대응’ 기능이 패치가 적용되기 전에 고객사 서비스를 보호한다고 설명했다. 또 패치가 나온 후 영향 범위를 점검하고 업데이트를 반영하는 동안 고객사 서버를 수정하거나 재시작하지 않고 공격을 서버 앞단에서 막을 수 있다고 밝혔다. 다만 취약점을 없애려면 공식 패치를 함께 적용해야 한다. 이 기능은 자바(Java)나 PHP 등 개발 언어와 관계없이 쓸 수 있다.
에버스핀은 PHP 기반 서비스를 운영하는 고객 지원을 늘릴 계획이다. 자체 서버에 설치하는 온프레미스 방식을 쓰기 어려웠던 서비스에는 클라우드 방식 도입을 제안한다.
댓글
0