홈페이지 리뉴얼, 털리고 나서 하시겠습니까?

아침에 커피 한 잔을 옆에 두고 뉴스를 넘기다 보면, 보안 사고 기사는 늘 큰 회사 이야기처럼 보입니다. 이번 주 기사는 조금 달랐습니다. 대표님 회사 홈페이지가 돌아가는 바로 그 기술의 이야기였기 때문입니다.

10월 21일, PHP가 긴급 업데이트를 냈습니다. PHP는 게시판, 문의 폼, 쇼핑몰처럼 홈페이지 뒤에서 일하는 프로그램을 돌리는 엔진입니다. 전 세계 웹사이트의 70% 이상이 이 엔진 위에서 돌아간다는 추산도 있습니다.

이번에 발견된 결함은 그 엔진 자체에 있었습니다. 로그인도 필요 없이, 평범한 방문처럼 보이는 요청 하나로 서버에 명령을 내릴 수 있는 결함입니다. 홈페이지를 아무리 잘 만들었어도 엔진이 같으면 똑같이 해당됩니다.

모든 보안 안내의 첫 줄은 같습니다. “최신 버전으로 업데이트하세요.” 그런데 이번에 고친 판이 나온 건 PHP 8.2부터 8.5까지뿐입니다.

그보다 오래된 8.1 이하는 PHP 공식 업데이트가 끝난 버전입니다. 이번에도 정식 업데이트판은 나오지 않았습니다. 다만 배포판·LTS 업체가 별도로 패치를 제공한 경우가 있으니, 호스팅 업체에 제공 여부와 적용 상태를 확인해야 합니다. 서버를 직접 조립해 쓰는 곳을 위한 최소한의 수정 코드만 공개됐는데, 일반 호스팅을 쓰는 회사가 적용할 수 있는 형태는 아닙니다.

문제는 그 오래된 버전을 쓰는 곳이 적지 않다는 겁니다. 인터넷에 노출된 국내 PHP 서버의 약 82%가 8.1 이하라는 조사가 나왔습니다. 열 곳 중 여덟 곳이 ‘업데이트하세요’라는 안내를 받고도 올릴 판이 없는 셈입니다.

올릴 판이 없는 홈페이지는 언젠가 다시 지어야 합니다. 남은 질문은 언제냐입니다. 사고 전이냐, 사고 뒤냐.

사고 뒤의 순서는 대개 이렇습니다.

그렇다면 리뉴얼 때 무엇을 바꿔야 할까요. 디자인을 새로 하는 건 당연합니다. 하지만 이번 사태가 짚은 곳은 겉모습이 아니라 구조였습니다.

오래된 홈페이지의 상당수는 서버 한 대, 프로그램 하나가 모든 일을 합니다. 화면을 보여주고, 문의를 받아 처리하고, 고객 정보를 보관하는 일까지. 가게로 치면 손님을 맞는 창구와 서류를 처리하는 사무실, 돈을 넣어 두는 금고가 한 방에 있는 셈입니다. 창문 하나가 열리면 방 전체가 열립니다.

이번 결함이 무서웠던 이유도 여기 있습니다. 엔진에 결함이 있으면 그 위에 무엇을 지었든 서버 전체가 위험해집니다. 보안 업체들이 ‘홈페이지 코드와 관계없이 서버 전체가 위험하다’고 경고한 이유입니다. 리뉴얼 때 디자인만 바꾸면, 같은 한 방에 새 벽지를 바르는 일이 됩니다.

저희는 규모가 큰 SI 현장에서 일을 배웠습니다. 그곳에서 창구와 금고를 나누는 건 선택이 아니라 기본이었습니다. 뉴제스트를 차리면서 정한 원칙 하나가, 그 기본을 작은 회사 홈페이지에도 그대로 가져오는 것이었습니다. 그래서 관리자와 문의 기능이 있는 홈페이지는 처음부터 세 칸으로 나눕니다.

오해가 없도록 분명히 해 두겠습니다. PHP 팀은 결함을 빠르게 고쳤고, 호스팅 업체들도 당일 대응했습니다. 지금 이 순간에도 PHP로 잘 운영되는 좋은 홈페이지가 많습니다.

저희가 쓰는 Java와 Spring도 다르지 않습니다. 2021년 Log4Shell, 2022년 Spring4Shell이라는 큰 결함을 겪었습니다. 저희도 이런 소식이 나오면 똑같이 업데이트해야 합니다.

어느 업체와 리뉴얼하시든 계약 전에 아래 다섯 가지를 물어보시길 권합니다. 이번 사태가 남긴 목록입니다.

이 글의 썸네일 속 사람은 웃으며 신문을 읽고 있습니다. 저희가 바라는 대표님의 모습도 그렇습니다. 보안 사고 기사를 커피 한 잔과 함께, 남의 일로 읽을 수 있는 것.

그러려면 리뉴얼 날짜를 사고가 아니라 대표님이 고르셔야 합니다. 오래된 홈페이지를 언젠가 다시 지어야 한다면, 그날은 사고 뒤보다 사고 전이 훨씬 조용하고, 대개는 더 쌉니다.

지금 홈페이지가 해당되는지 모르겠다면, 아래 보안 점검에 주소만 입력해 보세요. PHP·Node.js 사용 흔적과 공개된 버전을 바로 확인하고, 담당자에게 물어볼 내용을 정리해 드립니다.