넥시얼, ‘초비상’ PHP·Node.js 보안 취약점 대응…기업 대상 무료 사전 점검 서비스 개시
- 과기정통부·KISA, CVSS 9.2점 PHP 원격코드실행(RCE) 결함에 사이버위기 경보 ‘주의’ 격상
- Node.js TLS 검증 우회 등 웹 백엔드 잇단 취약점 노출…유지보수 방치된 웹사이트 위협
- 넥시얼, URL 입력만으로 잠재 위험 진단하는 ‘NEXIAL Security’ 무상 제공…개선 상담 연계
정부가 글로벌 오픈소스 웹 기술인 PHP의 치명적인 제로데이 보안 취약점 발견에 대응해 민간 사이버위기 경보를 ‘주의’ 단계로 격상한 가운데, 소프트웨어 개발 전문기업 넥시얼(NEXIAL)이 취약점 노출 위험이 큰 기업 웹사이트를 대상으로 긴급 무료 보안 진단 서비스를 제공한다고 23일 밝혔다.
앞서 과학기술정보통신부와 한국인터넷진흥원(KISA)은 지난 22일 PHP의 고위험 취약점에 대한 긴급 보안 패치를 권고하며, 민간 분야 사이버위기 경보 단계를 종전 ‘관심’에서 ‘주의’로 한 단계 상향 발령했다.
이번에 식별된 PHP 보안 결함은 ‘CVE-2026-109618’과 ‘CVE-2026-109619’ 등 총 2건이다. 두 취약점 모두 공통 취약점 등급 시스템(CVSS 4.0) 기준 9.2점의 초고위험 등급으로 평가됐다. 취약 환경 방치 시 공격자가 원격에서 임의의 악성 코드를 삽입·실행(RCE)해 시스템 권한을 장악할 위험이 존재한다. 세부적으로는 메모리 부족 상황에서의 비정상 메모리 처리 결함, 내부 요청 처리 과정에서 해제된 메모리(UAF) 상태 미초기화 문제 등이 원인으로 파악됐다.
PHP 공식 재단은 지난 21일 해당 결함을 해결한 보안 패치 버전(PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12)을 긴급 배포했다. 특히 공식 기술 지원(EOL)이 만료된 구버전 PHP를 운영 중인 레거시 서버의 경우 상위 버전으로의 조속한 마이그레이션이 시급한 상황이다.
여기에 글로벌 자바스크립트 런타임 환경인 노드제이에스(Node.js) 역시 21일 DNS 처리 오류와 특정 IP 형식을 이용한 TLS 인증서 호스트명 검증 우회 결함 등을 수정한 보안 업데이트를 발표하며 국내 기업 전산망의 보안 점검 필요성이 대두됐다.
PHP와 Node.js는 기업 공식 웹사이트, 대형 쇼핑몰, 결제 및 예약 시스템, 회원 관리 포털 등 국내 대다수 웹 인프라의 핵심 백엔드 기술로 널리 쓰인다. 특히 외주 개발사를 통해 시스템을 구축한 후 장기 유지보수를 중단했거나, 사내 전담 IT 인력이 부재해 구동 버전을 파악하지 못하고 있는 중소·스타트업 및 공공기관의 보안 공백이 우려되는 실정이다.
이에 넥시얼은 웹사이트의 기초 보안 취약성과 설정 오류를 손쉽게 파악할 수 있는 무료 웹 보안 진단 도구 ‘넥시얼 시큐리티(NEXIAL Security)’를 무상 배포한다. 별도의 에이전트 프로그램 설치나 회원가입 절차 없이 공식 웹페이지에 도메인 URL만 입력하면 즉시 외부 노출 포트, 취약 헤더, 노출된 소프트웨어 버전 등 잠재 위험 요소를 자동 스캔해 직관적인 결과 보고서를 제공한다.
진단 대상은 PHP와 Node.js 기반 시스템에 국한되지 않고, JSP(자바), ASP.NET 등 다양한 웹 프레임워크 환경 전반을 아우른다. 진단 후 심층적인 서버 보안 감사나 버전 패치, 시스템 유지보수가 필요한 기업을 위한 후속 기술 지원 상담도 병행한다.
김민준 넥시얼 마케팅팀 팀장은 “PHP와 Node.js 등 국내 웹 생태계의 근간을 이루는 백엔드 엔진에서 연쇄적으로 초고위험 결함이 터져 나오며 기업들의 보안 점검이 그 어느 때보다 시급해졌다”라며 “개발 이후 수년간 패치가 방치된 노후 웹사이트의 경우 랜섬웨어나 정보 유출의 직접적 통로가 될 수 있는 만큼, 간편 진단을 통해 보안 사각지대를 조기에 해소하길 바란다”고 전했다.
Welaunch 이나은 기자
스타트업∙딥테크 뉴스 전문 미디어-위런치
Copyright ⓒ Welaunch. All rights reserved.
보도자료/기고 : editor@welaunch.kr
광고/제휴 문의 : we@welaunch.kr
