취약점

취약점은 프로그램이나 설정에 숨어 있는 약한 틈이에요. 공격자가 이 틈을 쓰면 정보가 새거나 서버가 멈출 수 있어요. 겉보기엔 멀쩡한 집인데 창문 걸쇠 하나가 헐거운 것과 비슷해요. 도둑은 그 창문으로 들어와요.

취약점은 어디서 생기나요?

크게 세 곳에서 생겨요.

• 코드 실수는 입력칸에 들어온 값을 제대로 검사하지 않아 엉뚱한 명령이 실행되는 경우예요.
• 설정 실수는 기본 비밀번호를 그대로 두거나, 관리 화면을 인터넷 전체에 열어 둔 경우예요.
• 낡은 부품은 내 프로그램이 가져다 쓰는 라이브러리에 구멍이 났는데 업데이트를 안 한 경우예요.

웹 보안 단체 OWASP 의 2025년판 위험 목록에도 "설정 실수"와 "소프트웨어 공급망 실패"가 2위, 3위로 올라 있어요. 그래서 가져다 쓴 부품도 내 코드처럼 챙겨야 해요.

CVE와 CVSS는 뭐예요?

CVE는 공개된 취약점의 공식 이름이에요. CVE-2021-44228 처럼 "CVE-연도-번호"로 붙어요. 같은 취약점을 회사마다 다르게 부르면 헷갈리니까, 전 세계가 한 번호로 부르자는 약속이에요.

CVSS는 그 취약점의 심각도 점수예요. 국제 보안 대응팀 협의체 FIRST 가 관리하고, 2023년 11월에 4.0판이 나왔어요. 점수는 이렇게 읽어요.

이 등급 구간은 지금 많이 쓰는 3.1판과 4.0판이 같아요. 아래 사례 표의 점수는 NVD 가 매긴 3.1판 점수예요.

점수는 "인터넷 너머에서 공격할 수 있나, 쉽게 되나, 로그인이 필요한가, 사용자가 뭘 눌러야 하나" 같은 항목을 따져서 나와요.

유명한 사례는요?

미국 국가 취약점 데이터베이스(NVD)에 올라 있는 값 그대로 정리했어요.

하트블리드는 TLS 를 처리하는 OpenSSL 에서 서버 메모리 내용이 새어 나간 사건이에요. 개인키까지 읽힐 수 있었어요. 로그4셸이 만점을 받은 이유는 네 가지가 다 겹쳐서예요. 인터넷 너머에서, 쉽게, 로그인 없이, 사용자가 아무것도 안 눌러도 공격이 됐어요. 게다가 수많은 프로그램이 이 부품을 안에 품고 있어서, 쓰는 줄도 모르는 곳이 많았어요.

내 PC의 OpenSSL은 몇 버전일까? 직접 확인해 봤어요

2026년 10월 29일, 서울 사무실 윈도우 PC에서 버전만 읽어 봤어요. 누구나 해 볼 수 있는 안전한 확인이에요.

openssl version
OpenSSL 3.5.4 30 Sep 2025          ← Git 에 함께 깔린 OpenSSL

python --version
Python 3.12.8

python -c "import ssl; print(ssl.OPENSSL_VERSION)"
OpenSSL 3.0.15 3 Sep 2024          ← 파이썬 안에 따로 들어 있는 OpenSSL

한 PC 안에 OpenSSL 이 두 벌 있었어요. Git 이 쓰는 3.5.4 와 파이썬이 쓰는 3.0.15 예요. 하나를 업데이트해도 다른 하나는 그대로예요.

공식 페이지와 맞춰 보니 이랬어요.

• OpenSSL 3.5 줄기는 2030년 4월까지 지원되고, 최신판은 3.5.9 예요. 3.5.4 는 여러 판 뒤처져 있었어요.
• OpenSSL 3.0 줄기는 무료 지원이 끝나 유료 연장 지원만 남았어요.
• 파이썬 3.12 의 최신판은 3.12.16 이에요. 파이썬을 올리면 안에 든 OpenSSL 도 함께 바뀌어요.

둘 다 하트블리드(1.0.1 줄기) 대상은 아니에요. 다만 "오래됐다"와 "구멍이 있다"는 다른 말이에요. 내 버전이 어떤 공지에 해당하는지는 OpenSSL 의 취약점 목록에서 버전으로 찾아봐야 해요. 이런 차이는 직접 버전을 찍어 봐야 보여요.

취약점이 발견되면 무엇부터 하나요?

1. 공지부터 봐요. KISA 보호나라 보안공지나 제조사 공지에서 내 제품 이름을 찾아요.
2. 내 버전과 맞춰 봐요. 위처럼 버전을 확인해서 영향 범위 안인지 봐요.
3. 패치해요. 고친 판으로 올리고, 서버라면 프로그램을 다시 시작해요.
4. 당장 못 올리면 임시 조치를 해요. 해당 기능을 끄거나, 방화벽으로 접근을 줄이거나, WAF 규칙으로 막아 시간을 벌어요.

순서를 정할 때는 미국 CISA 가 내는 "실제로 악용된 취약점(KEV)" 목록이 좋은 기준이에요. 로그4셸은 공개 당일 이 목록에 올랐어요.

자주 하는 오해

• "점수가 높으면 무조건 우리도 위험해요." 그 부품을 안 쓰면 영향이 없어요. 반대로 점수가 중간이어도 내 서비스가 꼭 쓰는 부품이면 급해요.
• "업데이트만 하면 끝이에요." 설정 실수는 업데이트로 안 고쳐져요. 아직 패치가 없는 취약점(제로데이)도 있어요.
• "작은 사이트는 노리지 않아요." 자동 탐색 봇은 사이트 크기를 가리지 않고 알려진 취약점을 차례로 두드려 봐요.

퓨쳐인프라에서는

퓨쳐인프라 가상서버의 기본 방화벽은 처음에 모든 포트가 닫혀 있어요. 필요한 문만 열면 취약점이 있어도 닿을 수 있는 길이 줄어요. 방화벽(UTM) 부가서비스를 켜면 웹 공격 차단(WAF)이 서버 앞에서 먼저 걸러요. 알려진 취약점을 찾는 요청이 여기서 막혀요(월 150,000원, 부가세 포함). 서버 안에서는 운영체제 업데이트(예: 우분투의 sudo apt update && sudo apt upgrade)를 정기적으로 돌려 주세요.

자주 묻는 질문

CVE 번호는 어디서 찾아보나요?

cve.org 에서 번호나 제품 이름으로 찾을 수 있어요. 점수와 영향 버전은 NVD 페이지에 정리돼 있어요. 국내 공지는 KISA 보호나라에 올라와요.

제로데이가 뭐예요?

제조사가 아직 고치지 못한, 또는 모르는 취약점이에요. 패치가 나오기 전까지 "막을 날이 0일"이라는 뜻에서 붙은 이름이에요.

개인 PC는 어떻게 챙기면 되나요?

윈도우 자동 업데이트를 켜 두고, 브라우저와 자주 쓰는 프로그램을 최신으로 유지하면 대부분 해결돼요. 개발 도구처럼 따로 깐 프로그램은 위처럼 가끔 버전을 확인하세요.

관련 용어

• WAF · 방화벽 · 랜섬웨어 · DDoS
• TLS · 리눅스 · 우분투