PHP 재단은 우유부단함과 자원 부족으로 2024년에 처음 확인된 중대한 보안 취약점의 수정이 지연됐다고 인정하며, 지연된 대응을 ‘구조적 실패’라고 규정했다. 

정부 기관과 전 세계 여러 조직은 PHP가 서로 관련된 두 건의 중대한 취약점에 대한 긴급 패치를 배포하는 동안 예방 조치로 수요일 웹사이트를 오프라인으로 전환했다. 이 결함으로 인증되지 않은 공격자가 로그인 없이 영향을 받은 서버에서 코드를 실행할 수 있었다. 

PHP는 콘텐츠 관리 시스템을 비롯한 웹사이트와 웹 애플리케이션을 구동하는 데 널리 사용되는 프로그래밍 언어다. 

패치 배포 후 게시한 블로그 글에서 재단은 개발자들이 2024년에 취약점의 징후를 처음 발견했지만, PHP로 구축된 대규모 소프트웨어 생태계를 중단시키지 않고 해결책을 마련하는 데 어려움을 겪었다고 설명했다.

재단은 “원격 코드 실행으로 이어지는 알려진 경로가 없었고, 엔진에 필요한 깊은 지식을 갖춘 소수의 핵심 개발자들이 여러 책임을 맡고 있었던 상황이 맞물리면서, 이러한 의사결정 과정으로 인해 수정 작업은 수개월 동안 반복적으로 중단됐다가 재개됐다”고 말했다.

재단은 “달리 가장하지 않겠다. 지연은 구조적 실패였으며, 보안팀의 의사결정 과정과 자원 부족이 모두 원인이었다”고 밝혔다.

보안업체 Calif와 OpenAI가 같은 근본 문제를 독립적으로 보고하고 Calif가 조건 없는 원격 코드 실행을 입증한 뒤인 8월 11일, 재단은 해당 취약점을 다시 지적받았고 이 문제는 최우선 보안 과제가 됐다. 

PHP 보안 우려에 전 세계 웹사이트 중단

개발자들이 긴급 패치를 설치할 준비를 하는 동안 웹사이트 연결을 끊으면서 중단 사태는 전 세계로 확산됐다.

네덜란드는 디지털 신원 서비스를 중단했으며, 국가사이버보안센터도 웹사이트를 오프라인으로 전환했다. 

핀란드의 국가 IT 제공업체 발토리는 정부 공공 웹 서비스를 연결 해제했고, 프랑스 내무부는 현 웹사이트를 일시적으로 오프라인으로 전환했다. 로이터에 따르면 독일 연방 IT 제공업체 ITZBund도 여러 웹사이트를 비활성화했다. 

호주에서는 호주 신호국이 사이버보안 웹사이트 cyber.gov.au가 PHP 문제의 영향을 받은 정부 사이트 중 하나였다고 인정했다.

일본의 다카이치 사나에 총리는 X에 글을 올려 웹사이트 운영자들에게 가능한 한 신속하게 패치를 적용할 준비를 하라고 촉구했다. 그는 게시물에서패치를 즉시 적용할 수 없다면 웹사이트 기능을 일시적으로 중단하는 것이 위험을 줄일 수 있다고 말했다. 

위키백과를 운영하는 위키미디어 재단은 예방 조치로 Toolforge와 Cloud VPS를 비롯한 일부 지원 서비스를 오프라인으로 전환했으며, 이 서비스들은 자원봉사 개발자들이 사용하는 도구와 프로젝트를 호스팅해 수요일 위키백과 일부가 오프라인 상태가 되는 결과로 이어졌다. 

Cardano 블록체인의 개발과 거버넌스를 지원하는 회원 조직 Intersect는 잠재적 노출 여부를 평가하는 동안 Members Area를 일시적으로 오프라인으로 전환했다고 밝혔다. 작성 시점에도 해당 페이지는 여전히 오프라인 상태다. 

관련 기사: 가짜 사이트를 만들 수 있는 eMudhra 인증서 8개를 차단하기 위해 서두르는 기술 대기업들 

코인베이스 최고 보안 책임자 제프 룽글호퍼는 회사가 노출된 PHP 인스턴스의 증거를 찾지 못했다고 말했다. 

“이와 같은 취약점에 관한 소식을 들을 때마다 우리는 모든 것이 가능한 한 안전한지 확인하기 위해 자동으로 전면 점검을 실시합니다. 또한 추가적인 확신을 얻기 위해 제3자 공급업체들과도 협력하고 있습니다.”

디지털 자산 인프라 기업 비트고(BitGo)도 자사의 플랫폼이 PHP 취약점의 영향을 받지 않았다고 밝혔다. 

한편 바이낸스 공동 창립자 창펑 자오는 일부 웹 관리자가 보안 패치를 최신 상태로 유지하지 않을 수 있다며, 수요일 인터넷 사용자들에게 앞으로 며칠 동안 어떤 웹사이트를 방문하든 “각별히 주의하라”고 경고했다. 

오픈AI는 웹사이트 운영자가 잠재적으로 취약한 PHP 버전을 확인하고 해당 업데이트를 식별할 수 있도록 돕는 Codex 스킬을 출시했으며, 이 스킬은 GitHub를 통해 액세스할 수 있다. 

PHP 보안팀은 공개적으로 내용을 발표한 시점에 기능성 익스플로잇을 확인하지 못했다고 밝혔다. 

매거진: 비트코인을 보관할 Ledger의 5가지 대안