PHP 재단, 취약점 조기 공개 경위 발표… 혼란 키운 기업 실명 비판

무슨 일이 있었나요?

PHP는 많은 웹사이트가 쓰는 프로그래밍 언어입니다. 이번에 이 언어에서 위험한 보안 구멍 2개가 발견되었습니다. 개발팀은 10월 21일 밤에 보안 업데이트를 내놓았습니다. 하지만 발표 전에 정보가 새어 나가 SNS 등에서 퍼졌고, 개발팀은 업데이트 시간을 앞당겼습니다. 일부 기업은 아직도 웹사이트와 서비스를 멈춘 상태입니다.

꼭 알아야 할 숫자와 사실

• 보안 구멍은 2개이며, 위험도 점수(CVSS)는 실제 9.2인데 10.0으로 잘못 적혔습니다.
• 원래 업데이트는 10월 22일 밤 11시 예정이었지만, 21일 밤 11시로 앞당겨졌습니다.
• Chainguard라는 회사는 공개 금지를 어기고 6시간 넘게 먼저 업데이트를 공개했습니다.
• Califという회사의 동영상이 실수로 올라가, 실제로 작동하는 공격 예시(PoC)가 드러났습니다. 동영상은 지워졌지만 이미 퍼졌습니다.
• PHP 보안팀은 SNS에 퍼진 공격 예시를 조사했을 때 실제로 작동하는 결함은 없었다고 밝혔습니다.

왜 AI가 관련되어 있나요?

이번 보안 점검에는 AI 도구가 많이 쓰였습니다. 미국 Anthropic의 AI 모델과 OpenAI의 도구로 코드를 검사했습니다. OpenAI는 두 개 중 하나를 Califが GPT-5.6 Sol로 찾았다고 밝혔습니다. 재단은 한 가지 취약점의 흔적이 2024년에도 이미 보였다고 설명했습니다.

왜 중요한가요?

보안 구멍은 업데이트가 나오기 전에 알려지면 나쁜 사람들이 악용하기 쉬워집니다. 그래서 보통은 고칠 방법이 준비될 때까지 정보를 숨깁니다. 이번 일은 약속이 깨지면 많은 사람이 위험해질 수 있다는 것을 보여 줍니다. 재단은 앞으로 같은 일이 생겨도 더 빨리 고칠 수 있도록 준비하겠다고 말했습니다. 또 AI가 취약점을 빨리 찾아내는 시대에는 전문 엔지니어와 돈이 더 필요하다며 기업들에게 지원을 요청했습니다.

앞으로 지켜볼 점

• 멈춘 웹사이트와 서비스가 언제 다시 열리는지
• 재단이 약속한 더 빠른 대응 절차가 실제로 만들어지는지
• AI로 취약점이 더 많이 발견되면서 생기는 변화
• PHP를 쓰는 기업과 플랫폼이 재단을 얼마나 지원할지