PHP 재단, ‘구조적 결함’으로 인해 중대한 보안 패치가 지연됐다고 인정
Tapbit WirePHP 재단은 2024년 처음 확인된 중대한 보안 결함에 대한 수정 작업이 의사결정 지연과 자원 부족으로 지연됐다고 시인했으며, 이 지연된 대응을 ‘구조적 결함’이라고 명명했다.
정부 기관 및 전 세계 기타 조직들은 PHP가 두 가지 관련 중대 취약점에 대한 긴급 패치를 발표함에 따라 예방 차원에서 수요일 웹사이트를 일시적으로 종료했다. 이 결함은 인증되지 않은 공격자가 로그인 없이도 영향을 받는 서버에서 코드를 실행할 수 있게 했다.
PHP는 웹사이트 및 웹 애플리케이션(예: 콘텐츠 관리 시스템 포함) 구동에 널리 사용되는 프로그래밍 언어다.
패치 출시 후 블로그 글에서 재단은 개발자들이 2024년에 이미 이 취약점의 징후를 발견했으나, PHP 기반 소프트웨어 생태계 전체에 미칠 영향을 고려해 해결책 마련에 어려움을 겪었다고 설명했다.
재단은 “원격 코드 실행 경로가 알려지지 않았던 점과, 엔진에 대한 심층 지식을 갖춘 핵심 개발자 팀이 규모가 작고 다수의 책임을 맡고 있었던 점이 복합적으로 작용해, 수개월간 수정 작업이 반복적으로 중단·재개됐다”고 밝혔다.
“우리는 이를 부정하지 않는다. 지연은 보안팀의 의사결정 과정과 자원 부족이라는 양측의 문제에서 비롯된 구조적 결함이었다.”
보안 기업 칼리프(Calif)와 오픈AI가 독립적으로 동일한 근본적 문제를 보고한 후, 8월 11일 재단에 다시 한 번 취약점이 제기됐다. 특히 칼리프는 조건 없이 원격 코드 실행이 가능함을 입증해 이 문제를 최우선 보안 과제로 삼았다.
PHP 보안 위협으로 웹사이트가 일시 중단
개발자들이 긴급 패치 설치를 준비하면서 전 세계적으로 웹사이트 연결이 끊기는 혼란이 발생했다.
네덜란드는 디지털 신원 서비스를 일시 중단했으며, 국가 사이버보안센터(NCSC) 웹사이트도 함께 오프라인으로 전환했다.
핀란드 국영 IT 제공업체 발토리(Valtori)는 정부 공공 웹서비스를 차단했고, 프랑스 내무부는 주(프펙처) 웹사이트를 일시적으로 중단했다. 로이터에 따르면 독일 연방 IT 제공업체 ITZBund도 여러 웹사이트를 비활성화했다.
호주 신호국(ASD)은 사이버보안 웹사이트 cyber.gov.au가 PHP 관련 문제로 영향을 받았다고 공식 인정했다.
일본의 고노 요시히데(고노 요시히데) 총리는 X(구 트위터)를 통해 웹사이트 운영자들에게 가능한 한 빨리 패치를 적용할 것을 촉구했다. 그는 게시글에서 패치 적용이 즉각 불가능할 경우 웹사이트 기능을 일시 정지하는 것도 위험 완화 방안이 될 수 있다고 밝혔다.
위키미디어 재단(위키백과 운영 기관)은 도구포지(Toolforge) 및 클라우드 VPS 등 자원봉사 개발자들이 사용하는 도구 및 프로젝트 호스팅 서비스를 예방 차원에서 일시 중단했다. 이로 인해 수요일 일부 위키백과 서비스가 중단됐다.
블록체인 보안 기업 슬로우미스트(SlowMist)는 암호화폐 산업 내 PHP 사용 현황을 분석한 미스트아이(MistEye) 서비스를 통해 거래소, 탈중앙화 금융(DeFi) 플랫폼, 지갑 제공업체가 노출 정도를 검토하고 버전을 업그레이드하도록 촉구했다. 평가 대상 1,488개 도메인 중 직접 PHP 지문을 가진 도메인은 793개였다.
카르다노 블록체인 개발 및 거버넌스를 지원하는 회원 기구 인터섹트(Intersect)는 잠재적 노출 여부를 평가하기 위해 회원 전용 페이지를 일시 중단했다. 집필 당시 해당 페이지는 여전히 오프라인 상태다.
코인베이스 최고보안책임자 제프 룽글호퍼는 회사가 노출된 PHP 인스턴스에 대한 어떤 증거도 발견하지 못했다고 밝혔다.
“이와 같은 취약점 소식을 접할 때마다 우리는 모든 시스템이 최대한 안전하도록 자동으로 전면 점검을 실시합니다. 또한 추가 보장을 위해 제3자 공급업체와도 협력 중입니다.”
디지털 자산 인프라 기업 비트고(BitGo)도 자사 플랫폼이 해당 PHP 취약점의 영향을 받지 않았다고 밝혔다.
한편 바이낸스 공동창립자 창펑 자오(CZ)는 수요일 인터넷 사용자들에게 향후 며칠간 보안 패치를 적용하지 않은 웹 관리자가 있을 수 있으므로, 어떤 웹사이트 방문 시에도 ‘특히 주의’할 것을 경고했다.
오픈AI는 웹사이트 운영자가 잠재적으로 취약한 PHP 버전을 확인하고 적용 가능한 업데이트를 식별할 수 있도록 Codex 기능을 출시했으며, GitHub에서 이용 가능하다.
PHP 보안팀은 공개 발표 당시 기능상 악용 사례를 확인하지 못했다고 밝혔다.
잡지: 비트코인 저장을 위한 레저 외 5가지 대안
