EOL 소프트웨어: 위험 요소, 사례 및 지원 종료 후 보안 유지 방법

주요 내용

• 수명 종료(EOL) 소프트웨어는 더 이상 보안 업데이트를 제공받지 못하므로, 시스템이 알려진 위협에 취약해집니다.
• 지원 종료된 소프트웨어를 계속 사용하면 보안 위험, 규정 준수 문제 및 운영 차질이 증가합니다.
• TuxCare는 지원 종료(EOL)된 오픈소스 소프트웨어에 대한 취약점 패치를 제공하여, 고객 여러분이 보안을 유지하고 규정 준수 요건을 충족할 수 있도록 돕습니다.

많은 기업들이 지원 종료 시점이 지난 소프트웨어를 계속 사용하고 있는데, 대개는 그로 인한 위험을 인식하지 못한 채입니다. 지원이 중단된 소프트웨어는 시스템을 사이버 공격, 규정 준수 위반, 운영 중단 등의 위험에 노출시킵니다.

이 글에서는 지원 종료(EOL) 상태의 소프트웨어를 계속 사용할 경우의 위험성, 보안 업데이트의 중요성, 그리고 공급업체의 지원이 종료된 후에도 보안을 유지하기 위해 조직이 취할 수 있는 실질적인 조치들에 대해 살펴봅니다.

수명 종료 소프트웨어란 무엇인가요?

지원 종료(EOL) 소프트웨어란 공급업체가 더 이상 유지보수를 제공하지 않는 운영 체제나 애플리케이션을 의미합니다. 이는 공급업체가 보안 업데이트, 버그 수정 및 공식 지원을 중단함을 뜻합니다. EOL 소프트웨어는 여전히 작동할 수 있지만, 지원 종료일 이후에 발견되는 취약점은 해결되지 않기 때문에 심각한 보안 위험을 초래합니다.

대부분의 소프트웨어는 일정 기간이 지나면 지원이 단계적으로 중단되는 라이프사이클을 따릅니다. 예를 들어, 우분투 LTS 버전은 5년간의 표준 지원을 받은 후, 수명 종료에 앞서 연장 유지보수 단계로 들어갑니다.

소프트웨어에서 EoS와 EoSL이란 무엇인가요?

제조사들은 제품의 수명이 다했음을 설명할 때 특정한 용어를 사용합니다.

용어	의미
EoS (지원 종료)	일반적으로 무료 업데이트가 중단됩니다. 일부 업체에서는 유료 연장 지원 서비스를 제공합니다.
EoSL (수명 종료)	모든 지원이 종료되며, 해당 소프트웨어는 완전히 단종됩니다. 공급업체는 더 이상 지원을 제공하지 않습니다.

참고: 지원 종료(EOL)된 소프트웨어를 사용하면 조직의 시스템과 보안에 심각한 위험이 될 수 있으므로, 잠재적인 보안 침해를 방지하기 위해 최신 보안 패치와 업데이트를 적용하여 소프트웨어를 최신 상태로 유지하는 것이 필수적입니다.

지원 종료되는 소프트웨어 카테고리

“지원 종료(EOL)”는 소프트웨어의 “유형”을 의미하는 것이 아니라 지원 상태를 나타냅니다. 그럼에도 불구하고 EOL은 주로 특정 소프트웨어 범주에 영향을 미치며, 각 범주마다 서로 다른 위험 요소를 안고 있습니다.

운영 체제

운영 체제가 지원 종료(EOL) 단계에 이르면, 공급업체는 커널 및 시스템 보안 패치 제공을 중단합니다. 이로 인해 알려진 취약점이 해결되지 않은 채 남게 되며, 스택의 최하위 계층에서 보안 위험이 증가하게 됩니다.

언어 런타임

Python 2.7이나 PHP 7.4와 같은 지원 종료 (EOL) 된 런타임 환경은 더 이상 보안 업데이트를 제공받지 않습니다. 마찬가지로, Node.js의 지원이 종료되면 해당 버전으로 구축된 애플리케이션은 지원 중단 이후 발견되는 모든 미해결 취약점을 그대로 안게 됩니다.

라이브러리와 프레임워크

오래된 라이브러리와 프레임워크는 종속성 위험을 초래합니다. 핵심 라이브러리에 더 이상 패치가 제공되지 않으면, 관리가 잘 되어온 애플리케이션조차 취약해질 수 있습니다.

데이터베이스

지원 종료(EOL)된 데이터베이스는 저장된 데이터를 보호하는 보안 패치를 적용받지 못합니다. 이로 인해 데이터 유출 및 규정 준수 위반의 위험이 높아집니다.

웹 서버 및 CMS 플랫폼

지원 종료된 웹 서버와 CMS 소프트웨어는 여전히 알려진 취약점에 노출되어 있습니다. 공격자들은 이러한 구성 요소가 대외적으로 노출되어 있기 때문에 종종 이를 첫 번째 표적으로 삼습니다.

애플리케이션 및 미들웨어

Apache Tomcat, Kafka, Hadoop과 같은 핵심 도구들도 지원 종료(EOL) 시점에 도달합니다. 이러한 도구들에 대한 업데이트가 중단되면, 이들이 지원하는 데이터 파이프라인과 서비스의 안정성과 보안성이 위협받게 됩니다.

전문가 팁: EOL(지원 종료) 구성 요소가 눈에 띄지 않게 취약점을 유발할 수 있으므로, 항상 메인 애플리케이션과 그 종속성 모두를 확인하세요.

소프트웨어 수명 주기의 주요 지원 단계

대부분의 소프트웨어는 단순한 지원 주기를 거칩니다. 달라지는 것은 보안 지원의 범위이지, 소프트웨어 자체가 아닙니다.

적극적인 지원

공급업체는 보안 패치, 버그 수정 및 새로운 기능을 제공합니다. 이 단계는 운영 시스템에 있어 가장 안전한 단계입니다.

유지보수 또는 보안 전용 지원

공급업체는 새로운 기능 추가 및 개선 작업을 중단합니다. 오직 중요한 보안 패치만 제공합니다. 이 단계에서는 패치 배포 빈도가 줄어듭니다.

Lifecycle 종료

모든 공급업체 지원이 종료됩니다. 보안 업데이트가 더 이상 제공되지 않으며, 지원 종료(EOL) 이후에 발견된 새로운 취약점은 수정되지 않습니다.

확장 지원

일부 공급업체는 제품 수명 주기 종료(EOL) 이후에도 유료 지원 서비스를 제공합니다. 사용자는 일정 기간 동안 보안 패치를 받기 위해 비용을 지불하게 됩니다. 이는 새로운 시스템으로 마이그레이션하는 동안의 임시 조치입니다.

기술 지원 없이 EOL(수명 종료) 소프트웨어를 사용할 때의 6가지 위험

EOL(제품 수명 종료) 소프트웨어는 더 이상 원 제조업체로부터 보안 업데이트를 제공받지 않기 때문에, 해커들은 이러한 시스템을 쉽게 표적으로 삼아 악용할 수 있는 취약점을 찾아낼 수 있으며, 실제로 여전히 그러하고 있습니다. 다음은 반드시 유의해야 할 6가지 주요 위험 요소입니다.

1. 공급업체가 EOL 소프트웨어를 패치하지 않음

EOL(수명 종료) 소프트웨어를 사용할 때 가장 큰 위험 중 하나는 보안 업데이트가 제공되지 않는다는 점입니다. 이러한 업데이트가 없으면 시스템은 잠재적인 보안 침해 위험에 노출되어, 민감한 데이터와 정보가 심각한 위험에 처하게 됩니다.

악의적인 공격자들은 끊임없이 소프트웨어의 취약점을 찾아내고 있으며, 일단 취약점을 발견하면 이를 악용해 시스템에 침입하여 민감한 데이터를 유출하거나 시스템을 장악해 몸값을 요구할 수 있습니다.

2. 호환성 문제

EOL 소프트웨어를 사용할 때의 또 다른 위험은, 사용 중인 다른 소프트웨어나 하드웨어 기능과 호환되지 않을 수 있다는 점입니다. 이러한 호환성 문제는 시스템 오류와 운영상의 병목 현상을 초래합니다.

예를 들어, 지원이 종료된 운영 체제를 사용 중이라면, 필요한 최신 소프트웨어 버전과 호환되지 않을 수 있으며, 이는 조직과 직원의 업무 수행 능력은 물론 생산성에도 영향을 미칠 수 있습니다.

EOL 소프트웨어를 사용하면 조직이 새로운 기술과 기능을 활용하는 데 제한이 있을 수도 있습니다. 또한 새로운 기술과 소프트웨어 기능은 정기적으로 개발되기 때문에 EOL 운영 체제 대신 최신 소프트웨어와 함께 작동하도록 설계되어 있습니다. 수명이 다한 소프트웨어를 사용하는 조직은 새로운 기능을 최대한 활용하지 못해 생산성과 혁신 측면에서 뒤처질 수 있습니다.

3. 사이버 보안 위협 증가

사이버 보안 및 인프라 보안국(CISA) 은 소프트웨어 공급업체가 새로 발견된 취약점을 수정하기 위한 보안 패치와 업데이트를 더 이상 제공하지 않기 때문에 수명이 다한 소프트웨어를 사용하면 데이터 침해 및 랜섬웨어 공격의 가능성이 높아진다고 경고합니다.

해커는 많은 사용자가 위험성에도 불구하고 계속 사용할 수 있다는 것을 알고 있기 때문에 EOL 소프트웨어를 표적으로 삼는 경우가 많으므로 CISA는 조직이 아직 사용 중인 수명이 다한 시스템에서 마이그레이션할 것을 권장하고 있습니다.

4. 규정 준수 과제

보안 위험 외에도 CISA는 지원 종료(EOL) 소프트웨어를 사용할 경우 조직에 규정 준수 문제가 발생할 수 있다고 경고합니다. 기업을 대상으로 한 업계 표준 및 규정이 마련되어 있어, 기업은 소프트웨어를 안전하고 최신 상태로 유지하고 민감하거나 중요한 정보가 유출되지 않도록 보호해야 합니다.

사용 기한이 지난 소프트웨어를 사용하면 이러한 요건을 충족하지 못해 잠재적인 규정 위반 및 법적 문제가 발생할 수 있습니다. 이러한 위험을 완화하기 위해 CISA는 조직이 마이그레이션하는 EOL 소프트웨어보다 훨씬 더 강력한 소프트웨어를 개발, 구현 및 활용하도록 권고하고 있습니다.

이를 통해 조직은 최신의 가장 안전한 소프트웨어를 사용하고 있음을 보장할 수 있으며, EOL 소프트웨어 사용으로 인해 발생할 수 있는 규정 준수 관련 위험과 문제를 피할 수 있습니다.

5. 비용 증가

지원 종료된 소프트웨어를 사용하면 소프트웨어 공급업체의 지원이 중단되거나 보안 패치, 버그 수정, 업데이트가 더 이상 제공되지 않아 조직의 비용이 증가할 수 있습니다. 이로 인해 조직은 보안 침해에 취약해지며, 침해 사고를 수습하는 데 막대한 비용이 발생할 수 있습니다.

게다가 수명 종료 시점이 지난 소프트웨어에 대한 기술 지원도 더 이상 제공되지 않는 경우가 많기 때문에, 문제를 해결하는 데 엄청난 어려움을 겪을 수 있습니다. 기업들은 노후화된 시스템을 유지 관리하기 위해 과도한 자원을 투입해야 하는 경우가 많습니다. 이러한 숨겨진 비용에는 레거시 코드를 관리할 전문 IT 인력 채용, 가동 중단 시간 증가, 그리고 시스템이 결국 고장 났을 때 발생하는 ‘긴급’ 마이그레이션 비용 등이 포함됩니다.

또한 EOL 소프트웨어는 최신 하드웨어 또는 소프트웨어와의 호환성 문제가 있을 수 있으며, 이로 인해 다운타임이 증가하고 수익 손실로 이어질 수 있습니다.

6. 종속성 및 공급망 리스크

대부분의 소프트웨어는 외부 라이브러리와 시스템 도구에 의존합니다. 이를 ‘의존성’이라고 합니다. 이러한 도구 중 하나가 지원 종료(EOL) 단계에 이르면, 이를 사용하는 모든 앱에 영향을 미칩니다. 메인 앱 자체는 여전히 지원받을 수 있더라도, 앱 내부에 포함된 오래된 라이브러리 때문에 해커의 침입을 허용할 수 있습니다.

이러한 위험은 쉽게 포착하기 어렵습니다. 종속성들은 소프트웨어 스택의 깊은 곳에 자리 잡고 있습니다. 시간이 지남에 따라 팀원들은 어떤 부분이 여전히 지원되는지 잊어버리게 됩니다. 이로 인해 ‘사각지대’가 생깁니다. 여러분이 시스템이 안전하다고 여기는 동안, 공격자들은 패치되지 않은 이러한 취약점을 찾아냅니다.

EOL 소프트웨어 식별 방법

많은 기업이 해당 소프트웨어의 지원 종료 시점을 인지하지 못한 채 구형 소프트웨어를 계속 사용하고 있습니다. 일반적으로 지원 종료일은 공급업체가 정하므로, 소프트웨어의 지원 상태를 반드시 확인해야 합니다.

EOL 날짜를 확인하려면 다음 방법을 사용할 수 있습니다:

공급업체 웹사이트를 확인하세요: 대부분의 공급업체는 정확한 날짜가 명시된 “제품 수명 주기” 페이지를 게시합니다.

트래커 활용하기:endoflife.date와 같은 사이트는 수백 가지 소프트웨어의 지원 종료(EOL) 날짜를 한곳에 모아 제공합니다.

알림 확인: 대부분의 최신 시스템은 지원 기간이 종료될 무렵 데스크톱이나 터미널에 경고 메시지를 표시합니다.

최근 지원 종료된 소프트웨어 사례

소프트웨어는 정해진 출시 주기를 따릅니다. 오래된 버전은 결국 지원 종료(EOL) 단계에 이르게 됩니다. 다음은 지난 2년 동안 지원이 종료된 대표적인 소프트웨어의 예시입니다.

RHEL 7 (지원 종료: 2024년 6월)

레드햇 엔터프라이즈 리눅스 7(RHEL 7)은 더 이상 공급업체로부터 정기적인 보안 업데이트를 제공받지 않습니다. RHEL 7을 실행하는 서버는 새로운 취약점에 노출될 위험이 있어 전체 스택의 보안 위험이 커집니다.

RHEL 7의 지원 종료(EOL)와 관련된 보안 영향 및 일정에 대한 자세한 내용은 당사의 전체 가이드에서 확인하실 수 있습니다.

PHP 8.1 (지원 종료: 2025년 12월)

PHP 8.1은 2025년 말에 지원 종료(EOL)됩니다. 이 버전을 사용하는 애플리케이션은 새로운 취약점에 대한 보안 패치를 더 이상 제공받지 못합니다. 이로 인해 웹 서버와 이에 의존하는 프레임워크가 보안 침해 위험에 노출될 수 있습니다.

전체 웹사이트의 72.4%가 PHP를 기반으로 운영됩니다. 이 중 39.8%는 PHP 8을 사용하지만, 상당수는 여전히 구버전을 사용하고 있습니다. W3Techs에 따르면, PHP 8을 사용하는 전체 사이트 중 22.8%가 8.1 버전을 사용하고 있습니다.

PostgreSQL 13 (지원 종료: 2025년 11월)

PostgreSQL 13에 대한 지원은 2025년 말에 종료되었습니다. 공급업체는 모든 패치 제공을 중단했습니다. 이 버전을 사용하는 데이터베이스는 패치되지 않은 취약점과 규정 준수 문제에 직면해 있습니다.

구버전 PostgreSQL 데이터베이스의 보안 유지 관리에 대한 자세한 내용은 당사의 상세 안내를 참조하십시오.

OpenJDK 11 (지원 종료: 2024년 10월)

OpenJDK 11은 2024년 말에 지원 종료(EOL)되었습니다. 이 버전을 사용하는 Java 애플리케이션은 런타임 결함의 위험에 노출됩니다. 이러한 결함은 해당 애플리케이션과 연결된 모든 서비스에 영향을 미칩니다.

자바 라이프사이클의 차기 LTS 버전인 OpenJDK 17 역시 여러 배포판에서 지원 종료 시점이 다가오고 있으며, 빌드에 따라 빠르면 2026년 9월부터 지원 기간이 종료됩니다. OpenJDK 17 지원 종료( EOL) 가이드에서 이것이 귀하의 환경에 어떤 영향을 미치는지 확인해 보세요.

Oracle Linux 7 (지원 종료: 2024년 12월)

Oracle Linux 7은 2024년 말에 지원 종료(EOL)되었습니다. 이 운영 체제를 사용하는 서버는 더 이상 공급업체의 업데이트를 제공받지 못합니다. 이로 인해 커널 및 패키지 수준의 취약점이 해결되지 않은 채 남게 됩니다.

이러한 플랫폼 중 상당수는 TuxCare의 ‘Endless Lifecycle Support’를 통해 지원되므로, 조직은 공급업체의 공식 지원이 종료된 후에도 중요한 보안 패치를 계속 받아볼 수 있습니다.

소프트웨어의 지원 종료(EOL) 이후에도 보안을 유지하는 방법

전반적으로, 지원 종료(EOL) 소프트웨어 사용과 관련된 비용은 보안 위험부터 운영 중단에 이르기까지 금세 불어날 수 있습니다. 따라서 조직은 최신 상태이며 지속적인 지원을 받는 소프트웨어를 선택해야 하며, 이는 결국 보안 위험을 최소화하고 기타 불필요한 비용을 방지하는 데 도움이 될 것입니다.

하지만 여러 가지 이유로 인해 기업들은 지원 종료일이 지난 소프트웨어를 계속 사용해야 할 수도 있습니다. 다행히도 이러한 시스템을 안전하게 사용할 수 있는 방법이 있습니다.

확장 지원 솔루션 사용

소프트웨어 공급업체가 업데이트 제공을 중단한 후에도 일부 제3자 업체들은 알려진 취약점에 대한 보안 패치를 포함한 연장 지원 서비스를 제공하며, 이러한 업체들의 현황은 OS 중심 업체부터 HeroDevs와 같은 프레임워크 전용 도구 제공업체에 이르기까지 매우 다양합니다.

자세한 내용은 HeroDevs의 경쟁사 비교 자료를 참고해 주세요.

이를 통해 보안 취약점에 대한 걱정 없이 기존 소프트웨어 버전을 계속 사용할 수 있습니다.

TuxCare는 지원 종료된 리눅스 배포판, 언어 런타임, 라이브러리 및 애플리케이션에 대해 ‘무기한 라이프사이클 지원(ELS)’을 제공하여, 공급업체의 지원이 종료된 후에도 중요한 보안 패치를 배포합니다. ELS를 통해 Ubuntu 18.04, .NET 6과 같이 지원이 종료된 소프트웨어를 사용 중이거나 .NET 8의 지원 종료에 대비하고 있는 조직은 시스템을 즉시 마이그레이션하지 않고도 계속해서 보호할 수 있습니다.

현재 TuxCare는 다음 EOL 리눅스 배포판에 대해 지속적인 취약점 패치를 제공하고 있습니다:

• CentOS (6, 7, 8)
• CentOS Stream 8
• Oracle Linux(6, 7)
• 우분투(16.04, 18.04, 20.04)
• RHEL 7
• 데비안 10

또한 당사의 상세한 분석 자료를 통해 CentOS Stream 9의 지원 종료(EOL ) 일정 및 위험 요소에 대한 전체 분석을 확인하실 수 있습니다.

ELS에는 리눅스 커널, 아파치, PHP, 파이썬, MySQL, glibc, OpenSSL, OpenSSH 등 주요 패키지에 대한 보안 업데이트가 포함되어 있습니다. 지원되는 패키지와 해결된 취약점의 전체 목록은 CVE 트래커 페이지를 확인하시기 바랍니다.

TuxCare의 ELS는 Python, PHP, .NET, Spring, PostgreSQL 등 다양한 단종(EOL) 소프트웨어에도 제공됩니다. 지원되는 모든 기술 목록은 여기에서 확인하실 수 있습니다.

네트워크에서 EOL 시스템 분리

지원 종료(EOL) 운영 체제를 엄격하게 통제되는 네트워크 구역에 배치하는 것도 하나의 방법입니다. 방화벽, VLAN 분할 또는 에어갭(air-gapped) 환경을 활용하여 외부 노출을 제한할 수 있습니다. 하지만 이는 네트워크 관리자의 업무 부담을 가중시키고 시스템의 활용도에 부정적인 영향을 미칩니다.

강력한 액세스 제어 시행

EOL Linux 시스템을 다음과 같이 강화할 수 있습니다:

• 다단계 인증(MFA) 사용 설정하기
• 루트 사용자 액세스 제한
• 침입 탐지 시스템(IDS) 배포하기

그러나 이러한 보안 조치는 일시적인 위험 완화 효과만 있을 뿐, 보안 업데이트나 장기적인 지원을 대체할 수는 없습니다.

새 소프트웨어 시스템으로 마이그레이션

지원되는 버전으로 업그레이드하면 원래 공급업체로부터 보안 업데이트와 지원을 받을 수 있습니다. 그러나 직접 업그레이드 경로가 없는 경우에는 대체품을 찾거나 지속적인 보안을 위해 연장 지원을 사용해야 합니다.

예를 들어, CentOS 8에서 업그레이드할 수 있는 CentOS 9 버전이 없기 때문에 사용자들은 CentOS Stream이나 AlmaLinux와 같은 대안으로 전환할 수밖에 없습니다. 업그레이드든 마이그레이션이든, 다운타임과 호환성 위험을 최소화하려면 신중한 계획이 필요합니다.

단계별 마이그레이션 가이드를 통해 CentOS 7 또는 8 시스템을 AlmaLinux로 마이그레이션하는 방법을 알아보세요.

무한 라이프사이클 지원을 통한 EOL 소프트웨어 보안 강화

지원 종료 시점이 지난 소프트웨어를 계속 사용할 때 따르는 위험은 상당히 크지만, 이에 대한 해결책이 마련되어 있습니다. TuxCare의 ‘Endless Lifecycle Support(ELS)’를 통해 기업은 보안 침해 위험을 최소화하고, 지원 종료된 소프트웨어 사용 시 흔히 발생하는 가동 중단 시간을 줄이면서 기존 버전의 소프트웨어를 안심하고 계속 사용할 수 있습니다.

귀사의 조직은 아직 CentOS 7에서 마이그레이션하지 않으셨나요? TuxCare는 이 버전의 CentOS와 같이 지원 종료(EOL)된 오픈소스 소프트웨어에 대해 지속적인 보안 패치와 업데이트를 제공합니다.

지원 종료된 리눅스라고 해서 조직의 보안에 위협이 될 필요는 없습니다. 지원 종료 이후에도 조직이 어떻게 보안과 규정 준수를 유지할 수 있는지 알아보시려면 지금 바로 TuxCare 리눅스 보안 전문가와 상담해 보십시오.