전 세계 70% PHP?
[질문]
어제 커뮤니티에서 "전 세계 웹사이트의 70% 이상이 아직도 PHP로 돌아간다"는 글을 봤습니다.
워드프레스도 PHP라면서요.
근데 얼마 전까지만 해도 뉴스에서 "PHP는 오래되고 보안에 취약하다, 개발자들이 기피한다"는 기사를 본 것 같은데... 좀 모순되는 것 같아서 궁금해서 질문 남깁니다.
일반인 입장에서 이해가 안 되는 게,
그렇게 70%나 차지할 정도로 많이 쓰면, 좋은 기술 아닌가요? 왜 다들 PHP는 구식이라고 하고 개발자들은 안 쓰려고 하나요?
70%가 PHP면 해커들이 PHP만 노리면 다 털리는 거 아닌가요? 그냥 두면 위험한 거 아닌가 싶어서요.
유튜브 같은 큰 사이트도 PHP로 만들었다던데, 대기업들도 아직 PHP 쓰는 이유가 있나요?
개발자 분들 입장에서는 PHP가 어떤 이미지인지 궁금합니다. 정말 곧 사라질 기술인지, 아니면 앞으로도 계속 70% 유지할 정도로 안 없어질 기술인지...
쉽게 설명해주시면 감사하겠습니다.
[답변]
안녕하세요. IT전문 컨설턴트 입니다.
요즘 PHP의 보안성과 안정성에 대해 우려하시는 분들이 많은 듯합니다. 특히 오래된 기술이라는 인식과 보안 취약성에 대한 이야기 때문에 현재도 사용해도 괜찮은 기술인지 궁금해하시는 분들이 많습니다.
1. 70%가 PHP?
네, 사실인데 함정이 있습니다.
W3Techs라는 전 세계 웹 기술 통계를 보면, 서버 언어를 알 수 있는 사이트 중 약 75%가 지금도 PHP입니다. 워드프레스, 그누보드, 제로보드 등 일반인이 접하는 작은 홈페이지 10개 중 7개는 PHP라고 볼 수 있습니다.
그런데 왜 개발자들은 PHP를 구식이라고 할까요?
이유는 그 70% 중 상당수가 제대로 관리되지 않는 기존 시스템이기 때문입니다.
10년 전에 만들어져 지금까지 운영되고 있는 사이트들이 있습니다. 관리자는 업데이트 방법을 모르고, 제작자는 연락이 두절되고, 호스팅 업체는 수정하면 문제가 생길까 봐 그대로 두는 경우도 있습니다. 아파트로 비유하면 70%가 30년 된 구축 아파트인데, 사람이 살고는 있지만 배관도 교체하지 않고 버티는 상태인 셈입니다.
신규 프로젝트에서는 PHP 외에도 ASP.NET, 자바, Node.js 등 다양한 기술이 사용됩니다. 그래서 현업 개발자들 사이에서는 PHP가 레거시 기술이라는 이미지가 생기기도 합니다. 운영 중인 사이트는 많지만, 새로운 기술을 배우고 개발하려는 사람들의 관심은 다른 기술로 이동하는 현상이 나타나는 것입니다.
2. 그럼 해커가 PHP만 노리면 다 털리나요?
실제로 해커들은 PHP 기반 사이트를 포함해 다양한 웹사이트를 대상으로 자동화 공격을 시도합니다. 이것이 PHP 기반 사이트에서 보안 문제가 발생하는 주요 원인 중 하나입니다.
PHP는 오픈소스 생태계가 발달해 있어 취약점 정보가 공개되면 이를 악용한 공격이 발생할 수 있습니다. 예를 들어 구버전 그누보드에서 취약점이 발견되면, 해커는 전 세계 PHP 사이트를 대상으로 해당 취약점이 존재하는지 자동으로 탐색할 수 있습니다.
저희가 보안 점검을 진행하다 보면 PHP 사이트에서 웹쉘과 같은 악성코드가 발견되는 경우도 있습니다. 사이트 운영자가 이를 인지하지 못한 채 서버가 스팸 메일 발송 등에 악용되는 사례도 발생할 수 있습니다.
그렇다면 ASP.NET이나 자바는 안전할까요? 그렇지는 않습니다. 모든 언어와 시스템은 공격에 노출될 수 있습니다. 다만 시스템의 구성과 운영 방식에 따라 보안 수준에는 차이가 발생할 수 있습니다.
- PHP 생태계: 저가형 호스팅, 구버전 방치, 취약한 데이터 처리 방식 등이 결합되면 보안 위험이 커질 수 있습니다.
- ASP.NET 생태계:컴파일 언어와 윈도우 서버 기반 환경을 활용할 수 있으며, 적절한 보안 설계를 통해 시스템을 보호할 수 있습니다.
컨설팅을 기반으로 맞춤 제작한다면 관리자 접근을 통제하고, 데이터베이스의 개인정보를 보호하며, 시스템의 보안 수준을 높이도록 설계할 수 있습니다.
같은 집이라도 대문을 열어 놓고 생활하는 집과 이중 잠금장치를 설치한 집의 차이라고 생각하시면 이해하기 쉽습니다.
3. 유튜브 같은 큰 사이트도 PHP로 만들었다던데, 대기업들은 왜 PHP를 사용할까요?
유튜브와 페이스북은 구분해서 볼 필요가 있습니다. 페이스북의 초기 버전은 PHP로 개발되었습니다.
하지만 현재 페이스북에서 사용하는 기술은 일반적인 PHP 개발 환경과 차이가 있습니다. 페이스북은 PHP를 자체적으로 발전시켜 Hack이라는 새로운 프로그래밍 언어를 만들었으며, 이를 지원하기 위한 실행 환경도 개발했습니다. 일반적인 홈페이지에서 사용하는 PHP와는 개발 환경과 구조에 차이가 있는 것입니다.
대규모 사이트에서는 기존 기술을 기반으로 자체적인 개발 환경을 구축하기도 합니다.
대기업과 솔루션 업체들이 기존 PHP 시스템을 계속 사용하는 이유 중 하나는 기존 시스템을 교체하는 데 많은 비용이 들기 때문입니다. 이미 오랜 기간 축적된 데이터와 기능을 다른 언어로 옮기려면 상당한 개발 비용과 시간이 필요할 수 있습니다. 따라서 기존 시스템을 유지하면서 보안과 성능을 개선하는 방식을 선택하기도 합니다.
특히 솔루션 업체는 서버 운영 비용을 최소화할수록 솔루션의 가격을 낮출 수 있기 때문에 오픈소스나 무료 플랫폼을 기반으로 서버를 구성하는 전략을 사용하기도 합니다.
[IT 컨설턴트의 생각]
PHP 기반 사이트 중 상당수는 향후 유지보수와 보안 업데이트 문제로 인해 재구축을 검토하게 될 수 있습니다. 구형 그누보드나 워드프레스 사이트가 제대로 관리되지 않는다면 개인정보 보호와 보안 측면에서 문제가 발생할 수 있습니다. 또한 지원이 종료된 PHP 버전을 사용하고 있다면 업데이트나 시스템 개선을 검토해야 합니다.
그래서 요즘 저희에게 들어오는 문의 중에도 다음과 같은 내용이 있습니다.
"PHP로 된 기존 사이트가 보안 측면에서 불안해서 제대로 맞춤 제작하고 싶습니다."
단순히 개발 언어를 바꾸는 것이 목적은 아닙니다. 컨설팅을 통해 회사의 개인정보를 어떻게 보호할지, 관리자 접근을 어떻게 통제할지, 향후 유지보수와 업데이트를 어떻게 진행할지 설계하는 것이 중요합니다.
일반인이 운영하는 작은 사이트라면 현재 PHP를 사용하고 있다는 이유만으로 당장 사이트를 교체할 필요는 없습니다. 다만 사용 중인 PHP 버전과 워드프레스, 그누보드 등의 업데이트 상태는 확인해야 합니다. 보안 업데이트가 중단되었거나 유지보수가 어려운 상태라면 개선이나 재구축을 검토하는 것이 좋습니다.
결국 중요한 것은 PHP라는 언어 자체가 아니라, 현재 운영 중인 시스템이 안전하게 관리되고 있는지, 앞으로도 지속적으로 유지보수할 수 있는지입니다.
