PHP 재단, 구조적 실패로 핵심 보안 취약점 수정 지연 인정

PHP 재단은 2024년 처음 확인된 치명적 보안 취약점의 수정이 우유부단함과 자원 부족으로 지연됐다고 인정했다. 재단은 이번 지연을 보안팀의 의사결정 과정과 자원 부족이 얽힌 "구조적 실패"라고 규정했다. PHP는 공격자가 인증 없이 영향을 받은 서버에서 코드를 실행하게 할 수 있는 관련 치명적 취약점 2건에 대한 긴급 패치를 내놓았다.

재단은 블로그 게시물에서 개발자들이 2024년 취약점의 징후를 발견했다고 밝혔다. 개발자들은 PHP를 기반으로 구축된 방대한 소프트웨어 생태계에 지장을 주지 않을 해결책을 마련하는 데 어려움을 겪었다고 재단은 말했다. 원격 코드 실행으로 이어지는 경로가 알려져 있지 않았던 점이 수개월간 수정 작업이 거듭 중단되는 데 영향을 미쳤다고 재단은 밝혔다. 재단은 필요한 엔진 전문성을 갖춘 소수의 핵심 개발자들이 다른 업무도 맡고 있었다는 점도 들었다.

재단은 Calif와 OpenAI가 8월 11일 동일한 근본 문제를 각각 독립적으로 보고했다고 밝혔다. Calif가 조건 없이 원격 코드 실행이 가능함을 입증해 해당 취약점이 최우선 보안 과제가 됐다고 재단은 말했다. PHP는 콘텐츠 관리 시스템을 비롯한 웹사이트와 웹 애플리케이션에 널리 사용된다.

개발자들이 긴급 패치 설치를 준비하는 동안 전 세계 정부 기관과 다른 조직들은 예방 차원에서 수요일 웹사이트를 오프라인으로 전환했다. 네덜란드는 국가 디지털 신원 서비스를 중단했다. 네덜란드 국가사이버보안센터도 센터 웹사이트의 연결을 끊었다. 핀란드의 정부 IT 제공업체 발토리는 외부에 공개된 정부 웹 서비스를 차단했다. 프랑스 내무부는 현청 웹사이트를 일시적으로 비활성화했다. 로이터는 독일 연방 IT 제공업체 ITZBund도 웹사이트 여러 곳을 비활성화했다고 보도했다.

호주 신호정보국은 해당 기관의 사이버보안 웹사이트가 PHP 문제의 영향을 받은 정부 사이트 중 하나였다고 인정했다. 다카이치 사나에 일본 총리는 웹사이트 운영자들에게 가능한 한 빨리 패치를 설치할 준비를 하라고 촉구했다. 다카이치는 즉시 패치를 적용할 수 없는 경우 웹사이트 기능을 일시적으로 비활성화하면 위험을 낮출 수 있다고 말했다.

위키백과를 운영하는 위키미디어 재단은 예방 차원에서 일부 지원 서비스를 오프라인으로 전환했다고 밝혔다. 영향을 받은 서비스에는 자원봉사 개발자들을 위한 도구와 프로젝트를 호스팅하는 툴포지와 클라우드 VPS가 포함됐다. 서비스 중단으로 수요일 위키백과 일부 기능을 이용할 수 없게 됐다.

카르다노의 개발과 거버넌스를 지원하는 회원제 단체 인터섹트는 잠재적인 노출 여부를 평가하는 동안 멤버스 에어리어를 일시적으로 비활성화했다고 밝혔다. 작성 시점에도 멤버스 에어리어는 이용할 수 없었다. 코인베이스 최고보안책임자 제프 룽글호퍼는 코인베이스에서 PHP가 노출된 인스턴스의 증거를 찾지 못했다고 말했다. 룽글호퍼는 이런 유형의 취약점에 대해 알게 되면 코인베이스가 자동으로 포괄적인 점검을 한다고 밝혔다. 그는 추가적인 확실성을 확보하기 위해 제3자 공급업체들과도 협력하고 있다고 말했다. 디지털 자산 인프라 기업 비트고는 PHP 취약점이 자사 플랫폼에 영향을 미치지 않았다고 밝혔다.

바이낸스 공동 창업자 창펑 자오는 수요일 인터넷 이용자들에게 앞으로 며칠간 웹사이트를 방문할 때 각별히 주의하라고 촉구했다. 자오는 일부 웹사이트 관리자가 최신 보안 패치를 설치하지 않았을 수 있다고 경고했다. OpenAI는 웹사이트 운영자가 취약할 가능성이 있는 PHP 버전을 탐지하고 적용할 업데이트를 확인하도록 돕는 Codex 스킬을 GitHub를 통해 공개했다. PHP 보안팀은 취약점이 공개됐을 당시 실제로 작동하는 공격 수법은 확인되지 않았다고 말했다.