PHP 취약점 두 건에 긴급 패치가 나왔다

PHP에서 원격 코드 실행(remote code execution) 취약점이 공개돼 긴급 패치가 나왔습니다. PHP를 쓰는 웹사이트 운영자는 버전에 맞는 수정본이 적용됐는지 확인해야 합니다. 저는 패치 소식만으로 안심하기 어렵다는 점이 먼저 눈에 들어옵니다. 운영 중인 버전에 따라 적용할 수정본이 달라지기 때문입니다.

PHP 보안팀이 수정판 배포를 예고한 흐름은 이번 패치 배포로 이어졌습니다. 설치 현황을 확인하라는 예고 단계의 권고가 이제 각 서버에 수정본이 실제 적용됐는지 확인하는 일로 이어집니다.

취약점 공개 뒤 지원 중인 PHP 계열용 수정본이 나왔습니다. 수정본을 기다려야 했던 상황에서, 이제 해당 계열은 실제로 패치를 적용할 수 있게 됐습니다.

반면 지원이 종료된 일부 PHP 버전은 소스 코드 패치가 공개됐지만 공식 업데이트 바이너리는 없습니다. 이 버전을 운영하는 곳은 일반 업데이트 절차만으로 해결하기 어렵습니다. Cloudflare는 패치 전에 악용 징후를 보고했습니다. Cloudflare는 웹 애플리케이션 방화벽(web application firewall) 규칙도 임시로 배포했습니다. 국가안보국(NSA)은 즉시 업데이트할 수 없다면 사이트를 오프라인으로 전환하라고 권고했습니다.

서버나 호스팅 관리 화면에서 실제 PHP 버전을 확인하고, 8.2~8.5라면 해당 계열의 수정본이 설치됐는지 대조하십시오. 7.4·8.0·8.1을 쓰면 공식 바이너리가 없으니 공개된 소스 패치를 적용할 수 있는지 확인하십시오. 바로 패치하지 못한다면 사이트를 잠시 오프라인으로 두는 선택도 검토하고, 각 서비스가 수정된 버전으로 실행되는지 다시 확인해 보십시오.

운영 중인 사이트의 PHP 버전을 마지막으로 직접 확인하신 때가 언제입니까?