IPA, PHP 점검에 VPN·보안 장비도 포함…제품 안의 수정까지 확인하려면

브라우저에서 장비 주소를 열면 상태나 설정 화면이 나옵니다. 화면 뒤에서는 요청을 해석하고 결과를 만드는 프로그램이 일합니다. PHP는 그 일을 맡을 수 있는 프로그램 중 하나입니다. 이용자가 제품을 ‘VPN’이나 ‘보안 장비’라고 불러도 내부 구성에는 별도의 웹 처리 프로그램이 들어갈 수 있습니다.

아래는 PHP를 포함한 장비를 가정한 구성도입니다. 특정 제품의 내부 구조나 확인된 침입 경로를 그린 것이 아닙니다.

%% PHP를 포함한 장비의 구성 예시 · IPA의 점검 범위를 풀어 쓴 도식
flowchart TD
  A["이용자의 브라우저<br/>장비 화면에 요청"] --> B["장비의 웹 화면 처리<br/>PHP를 포함한 경우"]
  B --> C["장비의 상태 조회·설정 기능"]

PHP 개발팀은 취약한 PHP로 웹 요청을 처리하는 환경을 위험 대상으로 안내했습니다. 메모리는 처리 중인 자료를 잠시 두는 작업 공간입니다. 한 결함은 메모리 부족 때 불완전한 요청 자료를 정리 과정에서 잘못 다루는 문제이고, 다른 결함은 끝난 요청의 메모리를 가리키는 정보가 남아 뒤 요청에서 쓰이는 문제입니다. 이런 잘못된 메모리 처리가 공격 조건과 맞으면, 정상 화면 기능을 넘어 PHP의 권한으로 코드를 실행하는 피해로 이어질 수 있습니다. PHP 개발팀 발표

제품별 판단에는 취약한 PHP가 들어 있는지, 요청이 그 처리에 도달할 수 있는지, 수정이 반영됐는지가 필요합니다. 관리 화면을 인터넷에 직접 열지 않았더라도 접근 가능한 범위와 공급자 권고는 따로 확인할 항목입니다.

두 결함의 최초 공식 수정판은 8.2.35·8.3.36·8.4.27·8.5.12입니다. 제품 업체는 PHP 수정을 자사 장비의 펌웨어에 담아 제공할 수 있습니다. 펌웨어는 장비를 움직이는 소프트웨어 묶음이며, 장비 이용자가 PHP 파일만 따로 바꾸는 작업과는 설치·검증 절차가 다릅니다. 메모리 부족 결함 권고 · 남은 상태 정보 결함 권고

PHP 발표는 일부 배포판·장기 지원 업체의 백포트도 안내합니다. 백포트는 기존 버전 계열에 필요한 수정만 가져오는 방식입니다. 따라서 화면의 PHP 번호가 오래돼 보이면 제품의 빌드 번호·수정 이력과 두 CVE에 대한 업체 확인을 함께 봐야 합니다.

%% 수정이 장비에 도달하는 단계 · PHP와 IPA의 공급자 확인 권고 기준
flowchart TD
  A["PHP 개발팀<br/>원본 수정 공개"] --> B["제품 업체<br/>해당 모델의 대책 제공"]
  B --> C["장비 담당자<br/>공식 절차로 적용"]
  C --> D["설치·실행 상태 재조회<br/>대상 빌드와 적용 시각 기록"]

다음은 제품 정보를 정리하는 가상의 문의 예시입니다. ‘장비 A의 모델과 현재 빌드에서 두 CVE의 영향 여부, 권고된 업데이트·임시 대책, 적용 뒤 확인 방법을 알려 달라’고 물으면 답을 한 제품에 연결할 수 있습니다. ‘전부 최신’이라는 답만으로는 조사한 장비나 기준일을 알기 어렵습니다.

업데이트가 어려우면 영향과 서비스 중단 비용을 함께 검토해 업체가 제시한 완화·접근 제한을 판단해야 합니다. IPA는 인력·예산·유지관리 체계까지 고려하라고 권고합니다. 단순히 경고가 사라졌다는 이유로 기존 보안 완화를 풀거나 제품 안의 PHP를 임의 교체하는 단계로 건너뛰지 마세요.

앞선 PHP와 Linux의 결합 위험 해설은 웹 처리 뒤 서버 권한의 문제를 다뤘습니다. 이번 점검은 그보다 앞에서, 조직의 어떤 제품이 PHP를 포함하는지 찾아내는 일입니다.