PHP 재단은 의사결정 문제와 제한된 자원으로 인해 2024년에 처음 발견된 결함에 대한 PHP 보안 패치가 지연됐다고 인정했다. 관련된 두 가지 중대 취약점에 대한 긴급 패치가 수요일 공개되자, 정부 기관과 기타 조직들은 예방 차원에서 웹사이트를 오프라인으로 전환했다.
핵심 요약
- 재단은 대응 지연을 보안 프로세스와 자원이 관련된 구조적 실패라고 밝혔다.
- 이 취약점으로 인해 인증되지 않은 공격자가 영향을 받는 서버에서 코드를 실행할 수 있다.
- 암호화폐 관련 조직들이 노출 가능성을 점검한 가운데, Coinbase와 BitGo는 영향을 받은 시스템이 없다고 밝혔다.
목차
호환성과 인력 문제로 PHP 보안 패치 지연
재단의 설명은 이미 알려진 기술적 문제가 수개월간 해결되지 않은 배경에 초점을 맞춘다. 개발자들은 2024년에 취약점 징후를 발견했지만, 웹사이트와 웹 애플리케이션에 널리 사용되는 언어인 PHP로 구축된 방대한 소프트웨어 생태계를 저해하지 않을 해결책을 찾는 데 어려움을 겪었다.
당시 개발자들은 원격 코드 실행으로 이어지는 경로를 파악하지 못했다. PHP 엔진에 대한 필수 지식을 갖춘 소수의 인력에게도 다른 업무가 주어져, 재단은 패치 작업이 여러 차례 중단됐다가 재개됐다고 밝혔다.
재단은 보안팀의 의사결정 과정과 부족한 자원이 모두 원인이었다며 지연을 “구조적 실패”라고 설명했다.
보안업체 Calif와 OpenAI가 8월 11일 같은 근본 문제를 각각 독립적으로 보고한 뒤, 해당 문제는 최우선 보안 과제가 됐다. Calif는 조건 없이 원격 코드 실행이 가능함을 입증했다.
공공 서비스 전반으로 확산된 예방적 서비스 중단
긴급 패치가 공개되면서 각국의 운영자들이 업데이트를 준비하는 동안 서비스를 차단해 여러 국가에서 차질이 발생했다. 네덜란드는 디지털 신원 확인 서비스를 중단했고, 국가사이버보안센터도 자체 웹사이트를 오프라인으로 전환했다.
핀란드의 정부 IT 서비스 제공업체 Valtori는 정부의 공공 웹 서비스를 차단했고, 프랑스 내무부는 현청 웹사이트를 일시적으로 서비스에서 제외했다. 독일의 연방 IT 서비스 제공업체 ITZBund도 여러 웹사이트를 비활성화했다.
호주 신호국은 정부 웹사이트 가운데 cyber.gov.au도 PHP 문제의 영향을 받았다고 밝혔다. 일본의 다카이치 사나에 총리는 운영자들에게 신속한 패치 적용을 준비하라고 촉구했으며, 즉시 업데이트가 불가능한 경우 웹사이트 기능을 일시 중단하면 위험을 줄일 수 있다고 말했다.
위키미디어 재단도 Toolforge와 Cloud VPS 등 지원 서비스를 오프라인으로 전환해 수요일 일부 위키백과 기능에 영향을 미쳤다.
암호화폐 기업들, 잠재적 노출 여부 평가
블록체인 보안업체 SlowMist는 자사의 MistEye 서비스가 평가 대상 암호화폐 업계 도메인 1,488개 가운데 793개에서 직접적인 PHP 지문을 발견했다고 밝혔다. 이 업체는 거래소, 디파이(DeFi) 플랫폼, 지갑 제공업체에 노출 여부를 점검하고 업그레이드할 것을 촉구했다. 해당 조사 결과는 이들 도메인에서 PHP 사용을 확인한 것이며, 취약성까지 확인한 것은 아니다.
카르다노의 개발과 거버넌스를 지원하는 회원 조직인 Intersect는 잠재적 노출 여부를 평가하는 동안 회원 전용 영역을 일시 폐쇄했다.
Coinbase의 최고정보보안책임자 Jeff Lunglhofer는 회사가 노출된 PHP 인스턴스의 증거를 발견하지 못했으며, 제3자 공급업체와도 확인 중이라고 밝혔다. BitGo도 자사 플랫폼은 영향을 받지 않았다고 별도로 밝혔다.
익스플로잇 현황과 입증된 위험은 별개
원격 코드 실행 위험이 입증됐음에도, PHP 보안팀은 일반에 공개된 시점까지 작동 가능한 익스플로잇을 확인하지 못했다고 밝혔다.
OpenAI는 운영자가 취약할 가능성이 있는 PHP 버전을 확인하고 적용 가능한 업데이트를 찾도록 돕기 위해 GitHub를 통해 Codex 스킬을 공개했다.
결론
긴급 패치는 당면한 취약점에 대응하지만, 재단의 인정은 패치가 지연된 과정상의 실패를 부각한다. 보고된 서비스 중단은 예방 조치였으며, 영향을 받은 조직이 침해당했다는 증거는 아니다.
뉴스 더 보기
면책 조항
이 FinanceVelix 기사는 일반 정보를 제공하며, 개인 맞춤형 금융·투자·법률·세무 조언이 아닙니다. 시장 가격, 금리 및 경제 여건은 변할 수 있으며, 투자에는 손실 위험이 따릅니다. 사실관계는 게시 당시 이용 가능한 자료를 반영하며 이후 달라질 수 있습니다. 중요한 정보는 독립적으로 확인하고 필요한 경우 자격을 갖춘 전문가와 상담하십시오. 자산, 회사 또는 서비스를 언급하는 것은 추천을 의미하지 않습니다.
