PatchScope를 만든 이유
PHP는 소규모 비즈니스 사이트부터 대형 콘텐츠 플랫폼까지 웹의 상당 부분을 구동합니다. 그런데 이 중 많은 사이트가 여전히 오래되었거나 PHP 프로젝트의 지원이 종료된 버전을 사용하고 있으며, 사이트 소유자가 이를 모르는 경우도 많습니다.
“지금 쓰는 PHP 버전을 계속 써도 괜찮은가?“라는 단순한 질문에 답하는 데 필요한 정보는 릴리스 페이지, 변경 기록, 보안 권고, CVE 레코드, 배포판 트래커 등에 흩어져 있습니다. 출처마다 형식과 용어가 다르고, 질문에 직접 답해 주는 곳은 많지 않습니다.
PatchScope는 이러한 정보를 한곳에 모읍니다. 사이트 소유자, 개발자, 에이전시가 업그레이드에 대해 근거 있는 결정을 내릴 수 있도록, 출처를 함께 보여 주는 명확하고 정직한 답을 제공하는 것을 목표로 합니다.
제공하는 도구
- PHP 버전 검사기: PHP 버전을 입력하면 브랜치 지원 상태와 해당 버전에 영향을 주는 알려진 PHP 엔진 보안 권고를 확인할 수 있습니다. 점검은 전적으로 브라우저에서 실행됩니다.
- CVE 조회: 같은 큐레이션 데이터셋을 CVE ID, GHSA ID 또는 키워드로 검색합니다.
- 웹사이트 보안 검사기: 소유하고 있거나 테스트 권한이 있는 공개 웹사이트를 대상으로 HTTPS, 보안 헤더, 버전 노출, 쿠키 플래그, 자주 노출되는 파일 목록을 수동 점검합니다.
핵심 도구는 무료입니다.
이런 분들을 위한 서비스입니다
- 사이트 소유자: 릴리스 노트와 보안 권고를 일일이 읽지 않고도, 호스팅 업체가 표시하는 PHP 버전이 아직 지원되는지 알고 싶은 분
- 개발자와 에이전시: 여러 사이트를 관리하며, 업그레이드 계획 전에 출처가 확인된 참고 자료를 빠르게 확인해야 하는 분
- 호스팅 및 운영 담당자: 특정 업스트림 버전에 어떤 권고가 적용되는지, 그리고 버전 번호만으로 판단할 수 없는 경우가 언제인지 확인하고 싶은 분
PatchScope는 이러한 판단의 출발점이며, 자신의 시스템에 대한 보안 검토를 대신하지 않습니다.
원칙
- 경고보다 정확성. 위험을 과장하거나 확실성을 꾸며내기보다 “정보 부족”이라고 말하는 쪽을 택합니다.
- “안전함”이라고 주장하지 않습니다. 도구는 관찰한 내용을 보고할 수 있을 뿐, 문제가 없음을 증명할 수는 없습니다. PatchScope의 어떤 결과도 버전이나 사이트가 안전하다고 말하지 않습니다.
- 출처와 불확실성을 공개합니다. 모든 권고에는 출처, 검토일, 검증 수준이 표시됩니다. 배포판 백포트와 같은 알려진 한계는 관련된 곳에 명시합니다.
- 기본값은 개인정보 보호. PHP 검사기와 CVE 조회는 브라우저에서 로컬로 실행됩니다. 계정도 없고, 사용자 입력을 저장하는 데이터베이스도 없습니다.
- 핵심 도구는 무료. 기본적인 질문에 답하는 검사기는 계속 무료로 제공합니다.
구축 방식
PatchScope는 정적 웹사이트입니다. 버전 점검과 CVE 검색은 최소한의 JavaScript로, 버전 관리되는 데이터 스냅샷을 기준으로 브라우저에서 실행됩니다. 웹사이트 검사기는 입력한 사이트를 직접 요청해야 하므로 서버에서 실행되는 유일한 도구이며, 방법론에 설명된 엄격한 보호 조치를 적용합니다.
결과가 어떻게 만들어지는지 투명하게 공개합니다. 방법론 페이지에서 데이터 출처, 매칭 규칙, 상태, 웹사이트 점검 항목, 알려진 한계를 설명하고 있으며, 코드는 GitHub에서 확인하실 수 있습니다.
PatchScope가 알려 줄 수 없는 것
한계를 분명히 밝히는 것도 정직한 답의 일부입니다. PHP 버전 번호만으로는 호스팅 업체나 Debian, Ubuntu, RHEL 같은 Linux 배포판이 보안 수정을 백포트했는지 알 수 없습니다. 웹사이트 검사기는 사이트가 응답에서 노출하는 정보만 볼 수 있으며, 외부 스캔으로는 서버 설정, 플러그인, 파일 권한, 애플리케이션 코드를 볼 수 없습니다. 보안 권고 데이터셋은 큐레이션된 것으로 모든 권고를 포함하지는 않으므로, 데이터셋에 없는 CVE라고 해서 존재하지 않는다는 증거가 되지는 않습니다. 결과 화면에서는 이러한 한계를 해당되는 곳에 명시합니다.
로드맵
다음 항목은 계획 단계이며, 아직 제공되지 않습니다.
- 다국어 지원 확대: 영어와 한국어에 더해 일본어, 스페인어, 독일어, 프랑스어, 포르투갈어
- 정기 데이터 업데이트: 현재의 스크립트 기반 검토 업데이트 절차를 정기 작업으로 전환
- 선택형 다운로드 보고서: 점검 결과 보고서
- 전문 서비스: 웹사이트 보안 진단, WordPress 업데이트 지원, 기술 SEO 및 성능 개선 작업 등. 무료 도구와 별도로, 별도의 약관에 따라 제공될 예정입니다.
독립성
PatchScope는 evoa.one이 운영하는 독립 프로젝트입니다. PHP Group, The PHP Foundation, WordPress, Automattic과 제휴하거나 이들로부터 보증 또는 후원을 받지 않습니다. 제품명은 호환성과 데이터 출처를 설명하는 용도로만 사용합니다.
질문, 수정 요청, 의견은 문의 페이지를 통해 보내 주시기 바랍니다.