PHP 취약점 “PoC 조기 공개” 경위, 지원 재단 발표… 혼란을 키운 기업 실명 비판

무슨 일이 있었나

PHP에서 긴급한 보안 구멍 2개가 발견됐습니다. 개발팀은 수정 프로그램을 2026년 10월 21일 밤에 내놓기로 하고, 그전까지 자세한 내용을 숨기기로 했습니다. 그런데 정보가 미리 새어 나가 SNS에 퍼졌고, 한 보안 회사의 영상이 실수로 공개되면서 공격 방법을 보여 주는 코드(PoC)도 돌아다니게 됐습니다. 일부 회사는 아직 수정하지 않은 채 웹사이트를 멈췄습니다.

주요 숫자와 사실

• 취약점은 2개입니다.
• 수정 프로그램 배포는 원래 2026년 10월 22일 밤 11시 예정이었지만, 새어 나간 뒤 21일 밤 11시로 앞당겨졌습니다.
• 영상은 21일 새벽 5시쯤 잘못 공개됐습니다.
• 보안 회사 Chainguard는 공개 금지를 어기고 6시간 넘게 먼저 수정 내용을 공개했다고 합니다.
• 취약점 하나의 흔적은 2024년에도 발견됐다고 합니다.

왜 이렇게 되었나

PHP 财団은 PHP 개발 프로젝트를 돕는 단체입니다. 이번 취약점은 AI 도구와 여러 보안 회사의 검사를 거쳐 찾아졌습니다. 보안 취약점은 보통 고칠 때까지 자세한 내용을 숨겨야 합니다. 공개가 빨라지면 해커가 먼저 공격할 수 있기 때문입니다.

왜 중요한가

PHP는 많은 웹사이트와 서비스가 쓰는 언어입니다. 그래서 이번 일은 전 세계 기업들이 급하게 대응하게 만들었습니다. 공개 규칙을 어기면 수정을 준비할 시간이 줄어 피해가 커질 수 있다는 점도 보여 줬습니다. PHP 财団은 앞으로 이런 일을 막기 위해 더 빠르고 체계적인 절차를 만들겠다고 밝혔습니다.

앞으로 지켜볼 점

• PHP 财団이 말한 새로운 대응 절차가 실제로 어떻게 만들어질지
• PHP 지식이 많은 엔지니어를 구하기 위해 기업들이 지원금을 낼지
• 멈췄던 웹사이트와 서비스가 언제 정상으로 돌아올지