Aterm 일부 기종 설정 URL에 ‘.php’가 붙는 이유…NEC “PHP 문법 일부 처리”
NEC는 Aterm 일부 기종의 빠른 설정 화면 URL에 ‘.php’가 표시되는 이유로 PHP 문법 일부를 처리하는 자체 소프트웨어를 들었습니다. PHP 본체나 일반 PHP 실행 환경은 사용하지 않으며, 회사는 관련 취약점에 해당하는 처리 기구도 없어 Aterm 제품·서비스가 영향을 받지 않는다고 밝혔습니다.
본문
PHP의 CVE-2026-109618과 CVE-2026-109619가 악용되면 PHP 실행 프로세스의 권한으로 임의 코드가 실행될 수 있다고 JPCERT/CC가 경고했습니다. NEC는 2026년 10월 26일 Aterm 제품·서비스가 해당 취약점의 영향을 받지 않는다고 공지했고, 10월 28일 이를 갱신했습니다.
Aterm 일부 기종의 빠른 설정 웹 화면 주소에는 ‘/index.php’가 표시됩니다. ITmedia NEWS가 NEC에 그 이유를 묻자, 회사는 해당 기종에서 PHP 본체나 일반적으로 제공되는 PHP 실행 환경을 사용하지 않는다고 설명했습니다.
NEC에 따르면 해당 기종에는 PHP의 일부 사양을 참고해 자체 구현한 소프트웨어가 들어 있습니다. 이 프로그램은 관리 화면 제공에 필요한 기능에 한정해 PHP 문법 일부를 해석·처리하며, 장치 정보 표시 등 관리 화면의 처리를 맡습니다. 회사는 PHP 문법에 준하는 처리를 하기 때문에 URL에 ‘.php’ 확장자를 사용한다고 설명했습니다. PHP 본체의 구현은 재사용하지 않았습니다.
NEC는 이번 취약점에 해당하는 처리 기구도 사용하지 않는다고 밝혔습니다. 구체적인 구현 내용과 사용 프로그래밍 언어는 제품 내부 구현 정보라며 공개하지 않았습니다.
자료: ITmedia News / 정리·해설: Trawling