PHP 취약점 대응 비상…쿠도커뮤니케이션, TuxCare(턱스케어)로 구버전 보안 공백 완화
- TuxCare(턱스케어) 국내 독점 총판…지원 종료 PHP 환경의 보안 유지 방안 제시- PHP2Shell 취약점 2건 대응 패치 제공…상위 버전 전환 어려운 기업의 대응 지원- 추가 발견된 취약점은 별도 점검 필요…패치 적용부터 실행 환경 확인까지 강조
AI·ICT 전문기업 쿠도커뮤니케이션(대표 김용식)은 국내 독점 총판을 맡고 있는 글로벌 오픈소스 보안 전문기업 TuxCare(턱스케어)의 PHP 보안 지원 솔루션을 통해, 지원 종료(EOL) PHP를 운영하는 국내 기업의 보안 공백을 줄이기 위한 대응 방안을 제시한다.
최근 웹서비스 개발에 널리 사용되는 PHP에서 원격 코드 실행으로 이어질 수 있는 ‘PHP2Shell’ 취약점이 공개되면서 기업과 기관의 신속한 보안 업데이트 필요성이 커지고 있다. 이후 별도의 신규 취약점까지 추가로 확인되면서, 기존 패치 적용 여부뿐만 아니라 운영 환경과 서버 설정에 대한 지속적인 점검도 요구되고 있다.
특히 공식 지원이 종료된 구버전 PHP를 사용하는 기업은 보안 업데이트와 안정적인 서비스 운영을 함께 고려해야 하는 과제를 안고 있다. 기존 애플리케이션이나 확장 모듈과의 호환성 문제로 인해 상위 버전 전환에 상당한 시간이 소요될 수 있으며, 시스템 운영을 외부 업체에 위탁한 경우에는 실제 사용 중인 PHP 환경과 패치 적용 여부를 확인하는 과정도 뒷받침돼야 한다.
이에 대해 턱스케어는 연장 수명 주기 지원 솔루션인 ‘ELS(Endless Lifecycle Support) for Runtimes’를 통해 지원 종료 PHP를 포함한 대상 환경에 지속적인 보안 업데이트를 제공하고 있다. 이번에 문제가 된 PHP2Shell 취약점인 ‘CVE-2026-109618’과 ‘CVE-2026-109619’에 대해서도 보안 수정사항을 반영한 PHP 패키지를 지원한다.
솔루션의 핵심은 기존 버전 계열을 유지한 채 최신 보안 수정사항만 반영하는 ‘백포트(Backport)’ 방식이다. PHP 상위 버전으로 즉시 전환하기 어려운 기업도 지원 대상 환경에서는 보안 수정사항이 적용된 패키지를 활용해 취약점에 신속히 대응하고, 동시에 애플리케이션 호환성 검증과 단계적인 업그레이드를 안정적으로 준비할 수 있다. 다만 실제 적용 가능 여부는 운영체제(OS), PHP 버전, 패키지 구성 및 사용 중인 확장 모듈에 따라 사전 확인이 필요하다.
아울러 기존 PHP2Shell 대응과 이후 추가로 공개된 신규 취약점은 구분해 접근해야 한다. 한국인터넷진흥원(KISA)은 지난 10월 24일 보안 공지를 통해 신규 취약점인 ‘CVE-2026-115560’이 특정 세션 설정 조합에서 발생할 수 있으며, 앞서 10월 21일 배포된 PHP 보안 업데이트만으로는 해결되지 않는다고 안내했다. KISA는 해당 공지에서 영향을 받는 환경에 대해 파일 업로드 진행 상황 추적 기능을 비활성화하고 모든 PHP 작업 프로세스를 재시작하는 임시 조치를 권고했다.
따라서 일선 기업에서는 자사의 PHP 사용 여부와 버전, 패키지 공급 경로를 우선 파악하고 각 운영 환경에 맞는 보안 업데이트와 추가 조치 사항을 확인하는 과정이 요구된다. 패키지 업데이트 이후에는 실제 웹서비스를 처리하는 PHP 프로세스에 수정사항이 정상적으로 반영됐는지 검증하고, 기존 침해 흔적 여부도 함께 점검해야 한다. 외부 웹호스팅 서비스를 이용하는 기업 역시 운영업체에 자사 서비스의 취약점 영향 여부와 보안 조치 완료 여부를 확인할 필요가 있다.
쿠도커뮤니케이션은 턱스케어의 국내 공식 총판사로서 국내 기업에 관련 솔루션을 공급하고 있으며, 이번 보안 이슈를 계기로 지원 종료 소프트웨어의 보안 유지관리 필요성과 기업 환경에 맞춘 PHP 취약점 대응 방안을 적극 알린다는 계획이다.
구대완 턱스케어 한국지사 대표는 “기업 현장에서는 기존 서비스와의 호환성, 운영 영향 등을 고려해야 하기 때문에 PHP 상위 버전으로 즉시 전환하기 어려운 경우가 있다”며 “중요한 것은 전환을 준비하는 동안에도 보안 업데이트가 이어질 수 있도록 지원 체계를 확보하는 것”이라고 말했다. 이어 “사용 중인 PHP 환경과 취약점별 대응 여부를 정확히 확인하고, 긴급 보안 조치와 중장기 업그레이드 계획을 함께 추진해야 한다”고 강조했다.