PHP 재단은 2024년에 처음 확인된 치명적인 보안 결함에 대한 수정이 우유부단함과 자원 부족으로 지연됐다고 인정하며, 지체된 대응을 “구조적 실패”라고 규정했다.
PHP가 로그인하지 않은 인증되지 않은 공격자가 영향을 받은 서버에서 코드를 실행할 수 있는 서로 관련된 두 건의 치명적 취약점에 대한 긴급 패치를 배포하는 동안, 전 세계 정부 기관과 기타 조직들은 예방 조치로 수요일 웹사이트를 오프라인으로 전환했다.
PHP는 콘텐츠 관리 시스템을 비롯해 웹사이트와 웹 애플리케이션을 구동하는 데 널리 사용되는 프로그래밍 언어다.
재단은 패치 배포 후 게시한 블로그 글에서 개발자들이 2024년에 취약점의 징후를 처음 발견했지만, PHP를 사용해 구축된 방대한 소프트웨어 생태계를 중단시키지 않으면서 해결책을 마련하는 데 어려움을 겪었다고 설명했다.
재단은 “원격 코드 실행으로 이어지는 알려진 경로가 없었고, 엔진에 대한 깊은 지식을 갖춘 소수의 핵심 개발자들이 많은 책임을 맡고 있었던 상황이 더해지면서, 이러한 의사결정 과정으로 인해 수정 작업은 수개월 동안 반복적으로 중단됐다가 재개됐다”고 말했다.
재단은 “달리 말하지 않겠다. 지연은 구조적 실패였으며, 보안팀의 의사결정 과정과 자원 부족이 모두 원인이었다”고 밝혔다.
보안업체 Calif와 OpenAI가 같은 근본 문제를 독립적으로 보고하고 Calif가 무조건적인 원격 코드 실행을 입증한 뒤인 8월 11일, 재단은 해당 취약점을 다시 제보받았다. 이로 인해 이 문제는 최우선 보안 과제가 됐다.
PHP 보안 우려에 웹사이트 잇따라 중단
개발자들이 긴급 수정 사항을 설치할 준비를 하면서 웹사이트 연결을 끊자, 혼란은 전 세계로 확산됐다.
네덜란드는 디지털 신원 확인 서비스를 중단했으며, 국가사이버보안센터도 웹사이트를 오프라인으로 전환했다.
핀란드의 국가 IT 제공업체 발토리는 정부 공공 웹 서비스를 연결 해제했고, 프랑스 내무부는 일시적으로 프레펙튀르 웹사이트를 오프라인으로 전환했다. 로이터에 따르면 독일의 연방 IT 제공업체 ITZBund도 여러 웹사이트를 비활성화했다.
호주에서는 호주 신호국이 사이버보안 웹사이트 cyber.gov.au가 PHP 문제의 영향을 받은 정부 사이트 중 하나였다고 인정했다.
일본의 다카이치 사나에 총리는 X에 글을 올려 웹사이트 운영자들에게 가능한 한 신속하게 패치를 적용할 준비를 하라고 촉구했다. 그는 게시물에서패치를 즉시 적용할 수 없다면 웹사이트 기능을 일시적으로 중단하는 것이 위험을 줄일 수 있다고 말했다.
위키백과를 운영하는 위키미디어 재단은 예방 조치로 일부 지원 서비스를 오프라인으로 전환했으며, 여기에는 자원봉사 개발자들이 사용하는 도구와 프로젝트를 호스팅하는 Toolforge와 Cloud VPS가 포함됐다. 이로 인해 수요일 위키백과의 일부가 오프라인 상태가 됐다.
블록체인 보안 업체 슬로미스트(SlowMist)는 자사의 MistEye 서비스가 조사한 결과, 암호화폐 업계 전반에서 PHP 사용 현황을 점검하고 거래소, DeFi 플랫폼 및 지갑 제공업체에 노출 여부를 검토하고 업그레이드할 것을 촉구했다고 밝혔다. 평가한 1,488개 도메인 중 793개에서 PHP를 직접 식별할 수 있는 흔적이 발견됐다.
카르다노 블록체인의 개발과 거버넌스를 지원하는 회원제 조직 인터섹트(Intersect)는 잠재적 노출 여부를 평가하는 동안 Members Area를 일시적으로 오프라인으로 전환했다고 밝혔다. 이 페이지는 본문 작성 시점에도 여전히 오프라인 상태다.
관련 기사: 가짜 사이트를 만들 수 있는 eMudhra 인증서 8개를 차단하기 위해 서두르는 거대 기술 기업들
코인베이스의 최고정보보안책임자 제프 룽호퍼는 회사가 노출된 PHP 인스턴스의 증거를 전혀 발견하지 못했다고 밝혔다.
“이와 같은 취약점에 대한 소식을 들을 때마다, 모든 것이 가능한 한 안전한지 확인하기 위해 자동으로 전면 점검을 실시합니다. 또한 추가적인 확신을 얻기 위해 외부 공급업체들과도 협력하고 있습니다.”
디지털 자산 인프라 기업 비트고(BitGo) 역시 자사 플랫폼이 PHP 취약점의 영향을 받지 않았다고 밝혔다.
한편 바이낸스 공동 창립자 창펑 자오(Changpeng Zhao)는 경고했다. 일부 웹사이트 관리자가 보안 패치를 최신 상태로 유지하지 못했을 수 있으므로, 앞으로 며칠 동안 인터넷 사용자들에게 어떤 웹사이트를 방문하든 “각별히 주의하라”고 당부했다.
OpenAI는 웹사이트 운영자가 잠재적으로 취약한 PHP 버전을 확인하고 적용 가능한 업데이트를 식별할 수 있도록 돕는 Codex 스킬을 공개했으며, 이 스킬은 GitHub를 통해 이용할 수 있다.
PHP 보안팀은 공개적으로 문제를 알린 시점에 기능적으로 작동하는 익스플로잇을 식별하지 못했다고 밝혔다.