서버 회사의 「PHP 버전 변경 안내」 메일, 이렇게 읽으세요

서버 회사의 PHP 메일은 무슨 말일까?

크게 세 가지입니다. 「우리가 고쳤습니다(할 일 없음)」, 「언젠가 바꿔 주세요(날짜를 잡을 일)」, 「바꿔 주셔야 합니다(지금 할 일)」입니다.

이번 PHP2Shell 때 온 메일은 대부분 첫 번째였습니다.

• Xserver는 PHP 5.6~8.5에 수정을 마쳤으니 서둘러 버전을 바꿀 필요가 없다고 알렸습니다.¹
• Sakura Internet은 고객이 할 긴급한 일은 없다고 했습니다.²
• ConoHa WING은 고객이 버전을 바꿀 필요가 없다고 했습니다.³

카페24는 PHP 8.2 이상 서비스에 수정판을 적용했고,⁴ Lolipop은 수정을 마친 뒤 8.2 이후 버전으로 바꿔 달라고 함께 요청했습니다.⁵ 같은 날 온 메일이라도 회사마다 무게가 다른 셈입니다.

진석 대표의 정리메일을 열지 않는 것이 가장 큰 손해입니다. 열어 보면 「할 일 없음」으로 끝나는 경우가 많고, 그것을 아는 것만으로도 마음이 가벼워집니다.

메일에 나오는 낯선 단어는 무슨 뜻일까?

네 단어만 알면 대부분 읽힙니다. 지원 종료, 점검, 서버 환경 변경, 버전 번호입니다.

진석 대표의 정리낯선 단어는 벽이 아니라 문패입니다. 이름만 알면, 어느 집 이야기인지 금방 알 수 있습니다.

지금 할 일인지는 어떻게 가를까?

메일 속 문장을 아래 표에 대어 보면 됩니다. 「필요 없습니다」면 할 일이 없고, 「권장합니다」면 날짜를 잡고, 「해 주셔야 합니다」면 지금 움직입니다.

WordPress 공식 요구 사항은 PHP 8.3 이상을 권합니다.⁹

진석 대표의 정리「권장」은 「지금 당장」이 아니라 「잊지 마세요」라는 뜻입니다. 달력에 날짜 하나 적는 것으로 충분합니다.

진짜 서버 회사 메일인지는 어떻게 확인할까?

메일 속 링크를 누르지 말고, 서버 회사 사이트를 직접 열어 같은 공지가 있는지 봅니다. 결제나 로그인을 서두르게 하는 메일일수록 더 조심합니다.

Xserver는 이번 PHP 소동 직전인 10월 18일, 자기 회사를 사칭한 메일을 조심하라고 공지했습니다. 결제가 안 됐다며 도메인이 곧 해지된다고 겁을 주는 메일이었고, 본문의 링크는 모두 가짜 사이트로 이어졌습니다.¹⁰ Xserver는 공식 발신 주소를 밝히면서도, 그 주소조차 위조될 수 있다고 덧붙였습니다.¹¹

1. 링크 대신 직접 열기: 즐겨찾기나 검색으로 서버 회사 사이트에 들어가 공지 목록에서 같은 내용을 찾습니다.
2. 주소 확인: 로그인 화면이라면 주소창의 주소가 그 회사의 진짜 주소인지 봅니다. KISA도 메일로 연결된 사이트는 일단 의심하고 진짜 주소와 같은지 반드시 확인하라고 권합니다.¹²
3. 서두름 의심: 「오늘까지」, 「자동 해지」처럼 서두르게 하는 말은 사칭 메일이 자주 쓰는 수법입니다.¹⁰
4. 모르겠으면 묻기: 판단이 어려우면 서버 회사 사이트의 문의 창구로 직접 묻습니다.¹¹

진짜 안내문은 게시판에도 붙어 있습니다. 게시판에 없는 안내문은 한 번 더 의심합니다.

진석 대표의 정리보안 소식이 시끄러울 때 사칭 메일도 함께 늘어납니다. 불안할수록 링크 대신 문을 직접 열고 들어가세요.

버전을 바꿔 달라는 메일이 왔다면 무엇부터 할까?

백업이 있는지, 우리 서버 회사에서 버전 변경이 클릭 한 번인지 이사인지부터 확인합니다. 그다음 바꾸고, 바꾼 뒤 화면과 문의 폼을 확인합니다.

KISA도 호스팅 업체가 PHP를 관리한다면 그 업체에 조치 여부를 확인하고 요청하라고 하고, 바꾸기 전에 영향을 살피고 시험해 보라고 권합니다.¹³ 서버 회사마다 메뉴와 함정이 다르니, 우리 회사의 경우는 「PHP 버전, 어디서 보고 어떻게 바꿀까?」에서 찾아보세요.

진석 대표의 정리메일이 「언제까지」를 정해 주면, 사장님은 「누가」만 정하면 됩니다. 직접 할지, 제작사에 맡길지, 그 한 가지만요.