홈페이지 주소를 입력해 PHP 보안 상태를 확인하는 진단 화면.(이미지=티피아이인사이트 제공)
지난 10월 PHP 환경과 관련한 보안 취약점 ‘PHP2Shell’이 공개되면서 PHP로 홈페이지를 운영하는 기업과 기관의 점검 필요성이 커졌다.
CVE-2026-109618과 CVE-2026-109619로 등록된 이 취약점에 대응하려면 먼저 내 사이트가 어떤 PHP 버전과 서버 환경 위에 있는지부터 파악해야 한다.
티피아이인사이트 보안연구소장 심민석 CTO는 이런 상황에 맞춰 PHP2Shell 대응 솔루션과 무료 웹사이트탭 보안 진단 서비스를 선보였다고 밝혔다. 홈페이지 주소만 넣으면 공격 요청 없이 수 초 안에 결과를 확인할 수 있다.
이 서비스는 홈페이지 제작을 외부 업체에 맡겨 현재 쓰는 PHP 버전이나 서버 환경을 파악하기 어려운 중소기업과 병·의원을 주요 대상으로 한다. 결과와 함께 운영자가 지금 무엇을 확인해야 하는지도 안내한다.
■ 웹사이트탭 점검이 먼저인 이유
PHP는 기업 홈페이지와 쇼핑몰, 병·의원 홈페이지 등 다양한 사이트의 기반으로 쓰인다.
그만큼 영향 범위가 넓지만, 운영자 상당수는 자기 사이트에 어떤 PHP 버전이 깔려 있는지 모르는 경우가 많다. 웹사이트 운영자라면 자신이 쓰는 PHP 버전과 서버 환경이 안전한지부터 확인해 둘 필요가 있다.
특히 홈페이지 제작을 외부 업체에 맡긴 중소기업과 병·의원은 서버 환경을 직접 확인할 방법이 마땅치 않다. 웹사이트탭 보안 진단은 이들이 전문 인력 없이도 현재 상태를 먼저 가늠할 수 있도록 설계됐다.
운영자가 직접 버전을 확인하기 어렵다면, 바깥에서 볼 수 있는 정보만으로 1차 판단을 내릴 수 있는 도구가 먼저 필요하다. 이번 진단이 PHP를 쓰는 여러 사이트 가운데 특히 외주 제작 사이트에 초점을 맞춘 것도 이 때문이다.
■ 수정 버전 배포와 지원 종료 버전
PHP 개발진은 10월 21일 수정 버전을 공개했다. 다만 지원이 이미 끝난 PHP 8.1 이하 버전을 쓰는 사이트는 최신 지원 버전으로 옮기는 작업이 필요하다. 자신의 사이트가 어느 버전에 해당하는지 모른다면 수정 버전을 적용해야 하는지조차 판단하기 어렵다.
대응을 업데이트 한 번으로 끝내서는 안 된다는 점도 중요하다. 서버 접속 기록과 관리자 계정, 비밀번호를 함께 점검하는 과정이 뒤따라야 취약점 대응이 마무리된다.
웹사이트탭 진단은 운영자가 이 과정을 따라갈 수 있도록 서버 환경에 맞는 패치 방법을 안내한다. 패치 이후에는 접속 기록 확인과 관리자 비밀번호 변경 같은 보안 조치를 이어서 하도록 권한다.
■ 외부에서 내부로, 단계별 확인
웹사이트탭 진단은 외부와 내부 두 단계로 나뉜다. 외부 진단에서는 PHP 버전과 지원이 끝난 게시판·프레임워크를 쓰고 있는지, 바깥에서 보이는 하위 도메인이 있는지를 살핀다.
추가 내부 점검에서는 실제 서버에서 돌아가는 PHP 버전을 확인하고 웹셸이나 파일 위·변조 같은 침투 흔적을 찾는다. 취약점이 있느냐를 넘어 실제로 침해가 일어났을 가능성까지 따져 보는 단계다.
진단 결과에는 서버 환경별 패치 방법과 자체 점검용 체크리스트가 함께 제공되며, 전체 내용은 PDF 보고서로 받아 둘 수 있다. 결과 표시는 ‘위험’, ‘확인 필요’, ‘해당 없음’으로 단순하게 구분된다.
내부 점검까지 마치면 취약점 목록을 넘어 실제 서버가 어떤 상태인지를 알 수 있게 된다. 운영자는 이를 바탕으로 패치만 할지, 침해 흔적에 대한 추가 조치까지 할지를 판단할 수 있다.
■ 외주 제작 사이트라면 조치 주체부터
외부 개발업체가 만든 홈페이지는 문제를 고칠 주체가 호스팅 업체인지 개발사인지부터 정해야 한다. 웹사이트탭 진단은 두 업체 가운데 어느 쪽에서 어떤 조치를 해야 하는지 대응 항목을 정리해 제공한다.
티피아이인사이트 관계자는 “웹사이트를 외부 업체를 통해 제작한 기업은 자신의 홈페이지가 어떤 PHP 버전을 사용하는지조차 모르는 경우가 많다”며 “웹사이트 주소만으로 현재 확인할 수 있는 보안 상태를 우선 점검하고, 필요한 경우 패치와 침해 여부 점검까지 연결할 수 있도록 서비스를 구성했다”고 말했다.
■ 메디AX 무료 진단의 한 기능
이번 웹사이트탭 보안 진단은 티피아이인사이트가 병·의원을 위해 운영하는 AI 검색 최적화 서비스 ‘메디AX’의 무료 진단 기능 가운데 하나다.
메디AX는 회사의 AI 전환 브랜드 ‘TPI AX’에 속하며, 같은 브랜드 아래 홈페이지 자동 구성 서비스 ‘SiteAX’도 있다. TPI AX는 기업 업무를 AI가 수행할 영역과 사람이 직접 관리할 영역으로 구분하고, 실제 업무에 적용할 수 있는 AI 전환 전략을 제공하는 것을 목표로 한다.
티피아이인사이트는 기업진단, 경영전략, 여신·인증·제도·인사 컨설팅으로 누적 1,507개 고객사를 지원해 온 기업 성장 컨설팅 회사로, 최근 AX 사업을 확대하고 있다.
웹페이지 : https://www.tpiinsight.co.kr/
전화번호 : 02-6959-6353
){kind=small}
){kind=small}
){kind=small}
){kind=small}
