국내 PHP 서버 ‘약 11만 개’, 어떻게 집계했나?

어제(10월 21일) 안랩 홈페이지에 「PHP 중대 취약점 2건 발견…웹 서버 공격 위험에 긴급 업데이트 필요」 글이 게시된 뒤, 본문에 인용된 ‘국내 PHP 서버 IP 약 11만 개’라는 수치의 근거를 묻는 문의가 많았다. 이 글에서는 해당 수치를 어떻게 집계했는지, 그리고 숫자를 읽을 때 무엇을 주의해야 하는지 설명한다.

 

먼저 알아둘 점

‘약 11만 개’는 국내 웹사이트를 하나하나 세어 얻은 숫자가 아니다. 인터넷에 연결된 서버와 서비스를 찾아 주는 인터넷 자산 검색엔진에서 ‘PHP’로 식별된 검색 결과 건수다.

따라서 이 숫자를 국내 웹사이트 수나 취약점에 노출된 서버 수로 받아들여서는 안 된다. 자세한 내용은 아래 ‘수치를 해석할 때 주의할 점’에서 설명한다.

 

검색 방법과 전체 결과

안랩 ASEC은 미국, 한국, 중국의 민간 인터넷 자산 검색 서비스 3곳에서 PHP 사용 서비스를 조회했다. 이 글에서는 각 서비스를 A사, B사, C사로 표기하며, 사용한 검색 조건은 다음과 같다.

• A사: host.services.software: (product = "php")
• B사: product: php
• C사: app="php"

검색 서비스	전체 결과 수
A사	3,035,754건
B사	852,802건
C사	19,093,049건

 

각 서비스의 국가·지역별 상위 20개 결과는 아래와 같다. 서비스마다 집계 기준이 다르므로, 표의 숫자는 같은 서비스 안에서만 비교해야 한다.

 

A사 조회 결과 – 상위 20개

순위	국가/지역	결과 수	전체 결과 대비 비중
1	미국	650,463	21.4%
2	독일	272,951	9.0%
3	중국	237,542	7.8%
4	프랑스	166,591	5.5%
5	일본	150,757	5.0%
6	대한민국	125,859	4.1%
7	러시아	105,481	3.5%
8	홍콩	101,822	3.4%
9	브라질	89,464	2.9%
10	이탈리아	80,332	2.6%
11	영국	80,117	2.6%
12	네덜란드	74,374	2.4%
13	싱가포르	65,163	2.1%
14	인도	64,239	2.1%
15	캐나다	58,579	1.9%
16	스페인	57,871	1.9%
17	인도네시아	47,970	1.6%
18	대만	45,520	1.5%
19	아일랜드	33,292	1.1%
20	호주	32,569	1.1%

안랩의 앞선 게시글에서 언급한 ‘약 11만 개’는 A사 검색 결과를 근거로 한 수치다. 10월 21일 조회된 한국의 결과 수는 112,183건이었고, 10월 22일에는 125,859건으로 확인됐다. 검색 결과는 조사 시점에 따라 달라질 수 있다.

 

B사 조회 결과 – 상위 20개

순위	국가/지역	결과 수	전체 결과 대비 비중
1	미국	233,477	27.4%
2	일본	69,427	8.1%
3	독일	48,627	5.7%
4	대한민국	47,209	5.5%
5	중국	45,518	5.3%
6	프랑스	40,691	4.8%
7	네덜란드	31,018	3.6%
8	영국	22,884	2.7%
9	싱가포르	21,749	2.6%
10	브라질	20,233	2.4%
11	이탈리아	17,767	2.1%
12	인도	17,037	2.0%
13	캐나다	16,562	1.9%
14	호주	12,862	1.5%
15	홍콩	12,784	1.5%
16	인도네시아	10,930	1.3%
17	대만	10,672	1.3%
18	멕시코	9,703	1.1%
19	아일랜드	9,648	1.1%
20	스페인	8,353	1.0%

B사의 전체 결과는 852,802건으로 A사의 약 28% 수준이며, 대한민국은 47,209건으로 4위를 기록했다. 이 차이 역시 실제 PHP 서버 수의 차이라기보다, 서비스별 조사 범위와 집계 단위의 차이로 보는 것이 타당하다.

 

C사 조회 결과 – 상위 20개

순위	국가/지역	결과 수	전체 결과 대비 비중
1	미국 (US)	100,096,425	44.3%
2	중국 (CN)	31,796,955	14.1%
3	독일 (DE)	11,837,540	5.2%
4	홍콩	10,562,763	4.7%
5	싱가포르 (SG)	7,864,949	3.5%
6	일본 (JP)	5,878,224	2.6%
7	프랑스 (FR)	5,804,484	2.6%
8	영국 (GB)	4,294,377	1.9%
9	네덜란드 (NL)	4,011,204	1.8%
10	러시아 (RU)	3,343,903	1.5%
11	캐나다 (CA)	2,903,649	1.3%
12	브라질 (BR)	2,858,407	1.3%
13	대한민국 (KR)	2,848,656	1.3%
14	인도 (IN)	2,691,022	1.2%
15	폴란드 (PL)	2,035,516	0.9%
16	이탈리아 (IT)	2,000,012	0.9%
17	스페인 (ES)	1,972,981	0.9%
18	인도네시아 (ID)	1,829,070	0.8%
19	호주 (AU)	1,736,216	0.8%
20	영국령 버진아일랜드 (VG)	1,571,503	0.7%

C사는 A사,B사보다 결과 수가 훨씬 많게 나타났다. C사에서 대한민국은 2,848,656건으로 13위를 기록했다. 이는 실제 PHP 서버나 웹사이트가 그만큼 많다는 뜻이라기보다, 결과를 세는 방식이 다르기 때문인 것으로 보인다.

 

검색 서비스마다 숫자가 다른 이유

검색 결과의 ‘1건’이 무엇을 뜻하는지는 서비스마다 다르다. 어떤 서비스는 IP 주소 하나를 1건으로 세고, 어떤 서비스는 IP와 포트의 조합이나 도메인 하나하나를 각각 1건으로 센다. 아파트 한 동을 ‘건물 1개’로 세느냐, ‘세대 100개’로 세느냐에 따라 숫자가 달라지는 것과 비슷하다.

특히 PHP는 여러 웹사이트가 서버 한 대를 함께 쓰는 ‘공유 호스팅’ 환경에서 많이 쓰인다. 이 경우 서버는 하나여도 도메인 수만큼 결과가 따로 잡힐 수 있어, 비슷한 검색 조건으로도 서비스마다 결과가 몇 배씩 차이 날 수 있다. 여기에 조사 범위와 조회 시점까지 다르기 때문에, 서비스별 수치를 서로 비교하거나 합산하는 것은 적절하지 않다.

 

수치를 해석할 때 주의할 점

• 웹사이트 수가 아니다. A사의 결과는 호스트(IP) 단위이므로, 외부에 설명할 때는 ‘국내 웹사이트 수’보다 ‘국내 PHP 식별 호스트 조회 결과’라고 표현하는 편이 정확하다.
• 취약한 서버 수가 아니다. 검색 조건에 PHP 버전이나 취약 여부를 확인하는 기준이 없어, 특정 취약점에 영향을 받는 서버 수로 볼 수 없다.

• ‘국내’는 위치 정보 기준이다. 검색 서비스의 국가 위치 정보로 분류한 결과여서, 국내 기업기관이 운영하는 사이트 전체와는 다르다.

   

정리

검색엔진마다 수집 범위와 집계 기준이 달라, 전 세계나 국내에서 PHP를 사용하는 서버, 웹사이트의 정확한 수를 집계하기는 어렵다. 하지만 중요한 것은 정확한 숫자보다 규모다. A사 기준 약 300만 건, C사 기준 약 1,900만 건의 PHP 관련 결과가 조회될 만큼 PHP는 전 세계 웹에서 매우 널리 쓰이고 있으며, 국내에서도 A사 기준 125,859건이 확인됐다.

이번 취약점은 현재 지원 중인 PHP 8.2~8.5는 물론 지원이 끝난 구버전까지, 사실상 대부분의 PHP 버전에 영향을 미친다. 따라서 보안 업데이트를 적용하지 않은 PHP 서버는 국내외를 가리지 않고 공격 대상이 될 수 있다. PHP 기반 서비스를 운영하고 있다면 사용 중인 버전을 확인하고 즉시 최신 보안 버전으로 업데이트해야 한다.

안랩은 고객의 피해를 최소화할 수 있도록 관련 동향을 계속 모니터링하고, 추가로 확인되는 정보를 신속하게 공유할 예정이다.