AI 사이버보안 기업 에버스핀(대표 하영빈)은 PHP 취약점 2건(CVE~2026~109618, CVE~2026~109619)에 대응해 자사 웹 보안 솔루션 ‘에버세이프 포 웹(Eversafe for Web)’ 서비스형 소프트웨어(SaaS) 고객사에 공격 차단 규칙을 적용했다고 22일 밝혔다.
PHP의 공식 보안 패치가 공개되기 전에 SaaS 고객사에 대한 적용을 마쳤다고 설명했다.
|
이번 취약점은 원격 코드 실행(RCE)으로 이어질 수 있으며, 국제 공통 취약점 평가 체계(CVSS) 기준 심각도는 9.2점이다. 공격에 성공하면 서버에서 악성 코드를 실행해 웹사이트를 변조하거나 정보를 탈취할 가능성이 있다.
PHP는 기업 홈페이지와 워드프레스 기반 웹사이트, 온라인 쇼핑몰 등 다양한 서비스에 사용된다. 취약점이 공개되면 운영 기업은 사용 중인 버전과 서버 설정을 확인하고 보안 업데이트를 적용해야 한다. 다만 여러 시스템이 연결된 서비스는 호환성과 운영 영향을 점검해야 해 패치 적용까지 시간이 걸릴 수 있다.
에버스핀은 공개된 기술 분석을 바탕으로 시험 환경을 구성해 취약점을 노린 공격 요청이 자사 솔루션의 ‘취약점 공격 대응’ 기능에서 차단되는 것을 확인했다고 밝혔다. 공격 요청이 고객사 서버의 PHP에 도달하기 전 보안 솔루션이 이를 걸러내는 방식이다.
패치 적용 전후 보호…구버전은 업그레이드 필요
보안 솔루션을 통한 공격 차단이 취약점 자체를 없애는 것은 아니다. 기업은 임시 방어 조치와 별개로 공식 보안 패치를 적용해야 한다. 보안 지원이 종료된 구버전은 패치가 제공되지 않을 수 있어 지원되는 버전으로 업그레이드해야 한다.
에버스핀은 서버 앞단에서 웹 요청을 검사하는 SaaS 방식으로 PHP뿐 아니라 자바 등 서로 다른 개발 언어로 구축한 서비스에도 보안 기능을 적용할 수 있다고 설명했다. 서버 프로그램을 수정하거나 재시작하지 않고 공격을 차단할 수 있어 고객사가 업데이트를 준비하는 동안 방어 수단으로 활용할 수 있다는 것이다.
회사는 과거 로그포제이(Log4j) 취약점 사태에서도 사전 대응 기술을 강조한 바 있다. 이번 PHP 취약점 대응을 계기로 기존 보안 인프라를 적용하기 어려웠던 PHP 기반 서비스에도 SaaS 도입을 확대할 계획이다.
에버스핀에 따르면 자사 웹 보안 솔루션은 국내 고객사 7곳에서 2026년 9월 1일부터 10월 17일까지 약 6200만건의 공격 시도를 집계했으며, 같은 기간 탐지한 위협 IP는 21만개를 넘었다. 10월 21일 기준 누적 위협 탐지 건수는 약 285억건이다. 이 수치는 회사가 집계한 탐지 실적으로, 이번 PHP 취약점의 실제 공격 피해 규모와는 별개다.
기업과 기관은 PHP 사용 여부와 버전을 확인하고 보안 업데이트를 적용해야 한다. 즉시 패치하기 어려운 경우에는 외부 접속 제한 등 임시 보호 조치를 검토하되, 이를 근본적인 취약점 해결의 대체 수단으로 삼아서는 안 된다.
