PHP 취약점 두 건에 시스코가 보안 권고를 냈다

PHP 재단은 10월 21일 치명적 취약점 두 건을 고치는 보안 업데이트를 발표했습니다. 시스코는 이 취약점이 자사 제품에 영향을 준다는 보안 권고를 공개했습니다. 저는 수정판 발표와 제품 영향 공지가 나란히 나온 점이 눈에 들어왔습니다. PHP 자체를 관리하지 않는 제품 운영자도 확인할 이유가 생겼기 때문입니다.

PHP 보안팀이 취약점 패치를 예고했던 소식은 10월 21일 수정판 공개로 이어졌습니다. 이번에는 시스코가 자사 제품 영향까지 알리면서, 패치 예고가 제품별 점검으로 넘어갔습니다.

취약점이 알려진 데서 끝나지 않고 PHP 수정판이 공개됐습니다. 시스코의 별도 권고도 나와, PHP 환경과 시스코 제품을 운영하는 쪽이 각자 확인할 실마리가 생겼습니다.

하나는 메모리 부족(OOM)으로 메모리 손상(memory corruption)을 일으킵니다. 다른 하나는 오래된 전역 상태(global state)를 거쳐 원격 코드 실행(RCE)으로 이어질 수 있습니다. PHP 버전과 시스코 제품의 영향 범위는 각각 다른 권고문에서 확인해야 합니다. 서버만 살펴서는 제품 장비를 놓칠 수 있고, 두 권고문의 적용 대상과 수정 조치를 대조해야 손댈 항목이 정해집니다.

PHP를 쓰는 서버의 버전을 확인한 뒤 시스코 권고에 적힌 영향 제품과도 대조하십시오. 해당되는 항목이 있으면 권고문이 안내하는 조치를 적용하고, 점검표에 모든 서버와 제품의 영향 여부가 빠짐없이 표시됐는지 확인하십시오.

운영 중인 서버나 장비의 취약점 적용 범위를 마지막으로 대조하신 것은 언제입니까?