요약

  • Ofcom은 통신사업자와 디지털 인프라 분야 필수서비스 운영자 모두에게 PHP의 두 중대 취약점에 관한 영국 보안 당국의 권고를 긴급히 검토하라고 촉구했다.
  • 앞으로 며칠에서 몇 주 동안 감독 대상 서비스와 접촉해 기존 규제 의무에 비춰 취약점을 어떻게 고치고 있는지 파악할 계획이다.

패치 파일은 개발팀이 받지만, 왜 특정 시스템이 아직 열려 있는지는 운영 책임자가 설명해야 한다. Ofcom은 10월 23일 공지에서 모든 통신사업자와 디지털 인프라 부문의 필수서비스 운영자에게 영국 국가사이버보안센터의 PHP 경고를 긴급히 살피라고 요청했다. 이어 감독 대상 서비스와 접촉해 기존 규제 의무 속에서 복구가 어떻게 진행되는지 확인하겠다고 했다. 웹서버 작업 목록이 통신 감독의 대화 주제가 된 셈이다.

NCSC 경고는 CVE-2026-109618과 CVE-2026-109619를 지목한다. 요청 처리 과정의 메모리 오류가 특정 조건에서 인증 없는 원격 코드 실행으로 이어질 수 있다. PHP는 공개 웹사이트뿐 아니라 관리 화면과 지원 시스템에도 들어갈 수 있다. 어디에 설치됐는지 전부 찾는 일이 우선이다. 눈에 잘 띄는 홈페이지가 사업자의 전체 노출 범위를 대신 말해 주지는 않는다.

PHP 프로젝트는 8.5.12, 8.4.27, 8.3.36, 8.2.35에 수정 사항을 담았다. 운영체제 배포판이나 장기 지원 공급업체는 이전 번호의 패키지에 수정을 이식할 수 있다. 따라서 버전 문자열만 확인하면 실제 적용 상태를 놓치기 쉽다. 설치된 패키지와 공급업체의 수정 내역을 함께 확인해야 한다.

NCSC는 모든 PHP 설치 지점을 조사하고 인터넷에 노출된 시스템부터 업데이트하라고 권한다. 즉시 업데이트할 수 없다면 안내된 임시 완화책을 검토하고, 업데이트와 완화책을 빠르게 적용하기 어렵다면 시스템 중단도 고려하라고 한다. 곧바로 업데이트하거나 끌 수 없는 서비스는 변경 전에 침해 흔적을 살피라는 권고도 있다. 패치 순서는 서비스 지속 여부와 맞물린 운영 판단이다.

Ofcom이 새로 추가한 것은 감독 당국과의 확인 과정이다. 공지에는 특정 사업자 이름이나 조사 결과가 등장하지 않는다. 각 사업자에게 남는 질문은 간단하고 까다롭다. PHP가 어디에서 돌아가고, 무엇을 고쳤으며, 아직 노출된 시스템을 계속 운영하기로 누가 결정했는가?