전 세계 웹사이트의 75% 이상에서 쓰이는 프로그래밍 언어 PHP의 보안 패치가 공식 배포 예정 시각보다 6시간 이상 일찍 공개되면서 보안업계의 공조 체계가 흔들렸다. PHP 재단은 패치 배포업체 체인가드가 사전 협의 없이 패치가 적용된 이미지를 공개했다며 엠바고 위반을 비판했다. 패치가 먼저 공개되면 공격자가 코드를 분석해 취약점을 노리는 도구를 만들 수 있지만, 정식 업데이트를 적용하지 못한 이용자는 그동안 위험에 노출될 수 있다는 설명이다. 체인가드 최고경영자는 여러 보안업체가 실제 공격 징후를 확인해 조기 배포를 결정했다고 해명했다. 개발진은 취약점 정보가 온라인에 퍼지고 공격 시연 영상까지 노출되자 당초 일정을 앞당겨 패치를 배포했다.
| 항목 | 내용 |
|---|---|
| PHP 사용 웹사이트 | 75% 이상 |
| 패치 조기 공개 | 6시간 이상 |
| 취약점 심각도 | 9.2점 |
| 패치 대상 취약점 | 2건 |
취약점 정보 확산에 패치 일정 하루 앞당겨
PHP 개발진은 당초 22일 보안 패치를 배포할 계획이었다. 그러나 지난 20일 온라인에서 취약점 식별번호 등이 돌기 시작하자 배포 일정을 하루 앞당겼다. 이어 보안업체 캘리프가 취약점 공격 시연 영상을 실수로 게시했다가 삭제하는 일도 발생했다. 재단은 영상 노출이 해커들의 공격 도구 개발을 앞당길 수 있었다고 지적했다.
이번에 공개된 취약점은 원격 코드 실행으로 이어질 수 있는 결함 2건으로 소개됐다. 보안업체 에버스핀은 취약점 식별번호를 CVE-2026-109618과 CVE-2026-109619로 제시했다. 취약점이 악용되면 공격자가 인증 절차 없이 외부에서 코드를 실행하거나 서버를 장악하고, 민감한 정보를 탈취할 수 있다고 보안업체들은 설명했다. 국제 공통 취약점 평가 체계의 심각도 점수는 10점 만점에 9.2점이다. PHP는 웹사이트와 온라인 서비스 개발에 널리 쓰이며, 웹사이트 제작·관리 시스템 워드프레스도 PHP 기반으로 작동한다. 웹 기술 분석업체 W3Techs를 인용한 보도에 따르면 전체 웹사이트의 약 43%가 워드프레스를 사용한다.
개발진은 패치를 예정보다 앞당겨 공개했지만, 패치 배포 전부터 정보 유출과 공격 시도 관련 보고가 이어졌다. 클라우드 보안업체 클라우드플레어의 최고기술책임자는 초기 공격 시도가 나타났으며 새로운 공격 경로가 발견될 때마다 대응 조치를 업데이트하고 있다고 밝혔다. 다만 PHP 재단은 이번 사태로 실제 피해가 발생했는지 구체적인 사례를 밝히지 않았다. 공격 시도가 보고됐다는 내용과 확인된 피해 사례는 구분돼야 한다.
체인가드 조기 공개에 재단 “일방적으로 엠바고 깨”
PHP 재단은 21일(현지시간) 패치 배포업체 체인가드가 공식 배포 예정 시각보다 약 6시간 이상 이르게 패치가 적용된 이미지를 공개했다고 밝혔다. 재단은 공식 성명에서 “체인가드가 일방적으로 엠바고를 깼다”며 “공조 공개를 위해 수많은 주체가 수 주 동안 기울인 노력을 무시한 행위”라고 비판했다.
패치가 공식적으로 배포되기 전에는 운영자들이 업데이트를 내려받아 시스템에 적용할 수 없다. 반면 공격자는 먼저 공개된 패치 코드를 분석해 어떤 결함이 수정됐는지 확인하고, 이를 거꾸로 추적해 공격 방법을 개발할 수 있다. 재단은 “모든 공격자가 패치를 미리 연구할 수 있게 된 반면, 이용자들은 여전히 정식 배포를 기다려야 하는 상황이 벌어졌다”고 밝혔다. 특히 인공지능 도구를 이용하면 패치 코드 분석과 공격 스크립트 작성 속도가 빨라질 수 있다는 우려가 나왔다.
이번 취약점을 처음 발견한 타이 두옹 캘리프 최고경영자는 “어떤 사람이 패치를 가져다가 AI를 돌려보고, 이를 악용하는 스크립트를 게시할 수도 있다”며 “그러면 대혼란이 일어날 것”이라고 말했다. 이에 댄 로랜크 체인가드 최고경영자는 여러 보안업체가 실제 취약점 공격 징후를 확인했다고 밝혔다. 그는 “실제 공격 증거가 포착됐을 때 패치를 배포하도록 한 공조 취약점 공개 가이드라인에 따라 출시 결정을 내렸다”고 해명했다. 이어 “내 결정으로 더 큰 압박을 받게 된 PHP 재단과 관리자들에게 미안하다”고 말했다.
공격 징후 주장과 실제 피해 확인은 별개
체인가드는 실제 공격 증거가 포착된 경우 패치를 배포하도록 한 공조 취약점 공개 가이드라인을 따랐다는 입장이다. 반면 PHP 재단은 예정된 시각 전에 패치가 공개되면서 공격자에게 이용자보다 먼저 코드를 분석할 시간을 줬다고 비판했다. 두 입장은 조기 공개를 결정한 근거와 그에 따른 위험을 두고 맞섰다. 재단은 실제 피해 사례를 공개하지 않았고, 체인가드의 설명도 여러 보안업체가 공격 징후를 확인했다는 내용이었다.
체인가드 공식 엑스 계정은 패치 조기 공개 논란을 직접 언급하지 않은 채 “취약점의 공조 공개는 어려운 일”이라며 “지난 며칠 동안 이 문제를 해결하는 과정에서 모든 분의 도움에 깊이 감사드린다”고 밝혔다. 사전 정보 확산, 공격 시연 영상 게시와 삭제, 패치 조기 공개가 이어진 가운데 각 업체와 개발진은 취약점 대응과 배포 시점을 놓고 서로 다른 판단을 내렸다.
취약점 발견에는 인공지능 도구가 활용됐다. 캘리프는 오픈AI의 모델 GPT-5.6 솔을 이용해 결함을 찾았고, 구글 계열 보안업체 위즈도 독자적으로 두 건의 취약점을 발견해 신고한 것으로 보도됐다. 취약점을 찾아내는 데 AI가 쓰인 데 이어 패치 코드 분석과 공격 도구 제작에도 AI가 활용될 수 있다는 우려가 제기됐다. PHP 재단은 실제 피해 여부를 따로 밝히지 않았으며, 보안업체의 공격 징후 확인과 실제 피해 확인은 구별해 설명했다.
과거 감사에서 단서…패치 작업은 내부 조율로 지연
이번 사태와 함께 PHP 개발진이 취약점 패치를 준비해 온 과정도 공개됐다. PHP 재단에 따르면 개발진은 2024년 외부 보안 감사에서 일부 결함의 징후를 포착했다. 그러나 개발진 내부에서 해결 방법을 두고 합의가 이뤄지지 않았고, 기존 프로그램과의 호환성 우려도 제기되면서 패치 작업이 지연됐다. 재단은 보안 문제가 확인된 뒤에도 수정과 배포까지 이어지는 과정이 매끄럽지 못했다고 설명했다.
PHP 재단은 “우리는 사실을 감추지 않겠다”며 “이 지연은 보안 팀의 의사 결정 과정과 자원 부족 모두에 기인한 구조적 실패였다”고 밝혔다. 재단은 보안 팀의 의사 결정 과정과 자원 부족을 지연 원인으로 들었다. 이번에 취약점 정보가 온라인에 유출되고 공격 시연 영상이 게시된 뒤에는 개발진이 당초 22일로 잡았던 배포일을 하루 당겨 21일 패치를 공개했다. 이후 체인가드가 공식 예정 시각보다 앞서 패치 적용 이미지를 공개하면서 배포 시점을 둘러싼 논란이 커졌다.
미국 국가안보국은 PHP를 사용하는 기관과 기업에 업데이트를 준비하라고 권고했고, 즉시 업데이트할 수 없다면 취약점이 해결될 때까지 시스템을 오프라인으로 전환하라고 당부했다. 미 연방수사국도 민감한 데이터와 네트워크가 침해될 위험이 커졌다며 비슷한 조치를 권고했다. 네덜란드와 핀란드 등 유럽 일부 국가에서는 정부 포털과 공공 네트워크 서비스 등의 접속을 예방적으로 중단했다. 벨기에와 덴마크, 독일, 프랑스, 체코 등에서도 일부 공공기관 웹사이트가 일시 차단되거나 오프라인으로 전환됐다.
PHP 공식 패치가 배포된 뒤에도 운영자는 사용 중인 PHP 버전과 서버 설정을 확인하고 업데이트를 적용해야 한다. 보안 지원이 끝난 구버전은 패치를 받지 못할 수 있어 지원되는 버전으로 업그레이드해야 한다고 보안업체 에버스핀은 설명했다. 회사는 패치 전 공격 요청을 서버에 도달하기 전에 차단하는 규칙을 고객사에 적용했다고 밝혔지만, 이런 차단은 취약점 자체를 없애는 조치는 아니라고 덧붙였다. PHP 재단이 공개한 조기 배포 논란과 과거 패치 지연에 대한 설명은 보안 업데이트 배포 과정의 경과로 남았다.
· · · · · · · · · ·
관련기사
▶ PHP 취약점 우려에 유럽 공공기관 웹사이트 잇따라 차단
▶ PHP 취약점 긴급 패치…AI가 찾아낸 ‘PHP2셸’ 결함
▶ 경찰, 금융기관 해킹 사건 중수청에 통보…전자금융거래법 혐의 추가
· · · · · · · · · ·
스페셜타임스는 AI 기술의 도움을 받아 더 빠르고 다양한 뉴스를 독자에게 전달하기 위해 노력하고 있습니다.
