PHP 보안 결함 관련 안내 및 신규 개발 방침

최근 홈페이지 제작에 널리 쓰이는 서버용 프로그래밍 언어 PHP에서 심각한 보안 결함 2건이 발견되었습니다. 지난 10월 21일 긴급 수정판이 배포되었고, 미국 CISA와 유럽 CERT-EU 등 주요 보안기관이 즉시 적용을 권고했습니다. 이번 결함은 로그인 없이 조작된 요청을 보내는 것만으로 서버가 공격자의 통제를 받을 수 있는 유형입니다. 서버가 요청을 처리하고 정리하는 과정의 빈틈을 이용하는 방식이며, 아이디와 비밀번호가 없어도 공격이 가능해 파급력이 큰 것으로 평가되었습니다. PHP로 만들어진 홈페이지라면 버전에 따라 영향을 받을 수 있습니다. 대상은 최신 보안 패치가 적용되지 않은 PHP 8.2부터 8.5까지의 버전과, 지원이 이미 종료된 8.1 이하입니다. 운영 중인 PHP 기반 홈페이지는 단체 공문 메일 및 담당자가 안내드리고 있으며, 사이트별 영향 확인과 필요한 조치를 진행하고 있습니다. 앞으로 신규 프로젝트는 최신 리눅스 및 Node.js 서버 환경과 Next.js 기반으로 개발합니다. PHP가 나쁜 언어라는 뜻은 아닙니다. 다만 유지보수와 보안 대응 부담을 줄이기 위해 이번 사안을 계기로 신규 개발에서는 PHP를 사용하지 않기로 했습니다. 보안 관련 문의와 신고는 help@bri.kr 로 보내 주시기 바랍니다.