네트워크 저장장치 노리는 취약점 발견
한국인터넷진흥원(KISA)이 국내 사용자들도 널리 이용 중인 네트워크 저장장치(NAS)의 보안 취약점과 관련하여 신속한 보안 업데이트를 권고하고 나섰다. 이번 보안 사고 대응팀의 확인 결과에 따르면, 제조사인 시놀로지의 특정 애플리케이션들이 보안 취약점인 CVE-2026-109618 및 CVE-2026-109619의 영향을 받는 것으로 밝혀졌다.
NAS는 네트워크를 통해 다수의 기기에서 문서나 사진 같은 파일을 저장하고 열람할 수 있도록 설계된 장치로, 인터넷이나 기업 내부 네트워크에 연결해 사용하는 일종의 파일 서버 역할을 수행한다.
특정 애플리케이션 대상의 취약점 영향
시놀로지 측은 이번 취약점이 모든 애플리케이션에 보편적으로 적용되는 것은 아니라고 선을 그었다. 해당 보안 위협은 의존성 패키지를 실행하는 특정 시스템 환경에서만 영향을 미치는 것으로 파악되었다.
영향을 받는 대상은 PHP 7.3에서 8.4 사이의 특정 버전들을 사용하는 환경이며, 구체적으로는 시놀로지 캘린더와 메일 스테이션이 위험군에 포함된다. 사용자는 각 제품의 버전에 맞춰 적절한 보안 패치를 적용해야 한다. 시놀로지 캘린더의 경우 3.0.4-21435 이상의 버전이 필요하며, 메일 스테이션은 30000002.3.19-20333 이상의 버전으로 업데이트를 마쳐야 한다.
운영체제 버전에 따른 대응 방안
사용 중인 환경의 PHP 버전에 따라 수정 버전이 달라지므로, 반드시 본인의 환경에 맞는 패치를 적용하는 것이 중요하다. 특히 PHP 7.3 버전은 이미 기술 지원이 종료된 상태라 별도의 수정 버전이 제공되지 않는다. 따라서 해당 버전을 사용하는 경우, 보안이 지원되는 최신 버전으로 운영체제를 이전해야 한다.
낮은 공격 위험도와 패키지 관리 주의사항
시놀로지 측은 이번 취약점이 외부 공격에 노출되는 공격 표면에 포함되지 않는다는 점을 들어, 실제 악용될 위험은 매우 낮다고 평가했다. 그럼에도 불구하고 별도의 패키지로 설치되어 운영되는 PHP 7.3~8.4 버전과 이와 연계된 애플리케이션들은 취약한 버전을 사용 중인지 면밀히 확인한 뒤 보안 업데이트를 완료해야 한다.