PHP 웹해킹 비상속 일부 배포업체, 패치유출 논란…숨죽인 6시간

PHP 웹해킹 비상속 일부 배포업체, 패치유출 논란…숨죽인 6시간
공조 깨고 6시간 앞서 기습 공개…"공격자에 역분석 기회 제공한 셈"
2024년 외부 보안감사서 이미 결함 징후 포착했던 사실도 드러나



(샌프란시스코=연합뉴스) 권영전 특파원 = 전 세계 웹사이트의 75% 이상에서 쓰이는 프로그래밍 언어 PHP의 보안 결함 패치 발표를 앞두고 일부 업체가 약속된 시간보다 이르게 코드를 공개해 파문이 일고 있다.
PHP 재단은 21일(현지시간) 패치 배포업체인 '체인가드'가 공식 배포 예정시간보다 약 6시간 이상 앞서서 패치가 적용된 이미지를 기습 공개했다고 밝혔다.
재단은 공식 성명을 통해 "체인가드가 일방적으로 엠바고를 깼다"며 "공조 공개를 위해 수많은 주체가 수 주 동안 기울인 노력을 무시한 행위"라고 강력히 비판했다.
패치가 예정보다 일찍 공개되면 해커 등 공격자들이 패치 코드를 역분석해서 공격 도구를 개발할 수 있게 된다.
아직 정식 업데이트가 제공되지 않는 상황에서 해커들이 먼저 코드를 분석할 수 있는 6시간을 제공하게 돼, 이용자들이 눈 뜨고 해커들에게 당할 수 있게 됐던 셈이다.
재단은 "모든 공격자가 패치를 미리 연구할 수 있게 된 반면, 이용자들은 여전히 정식 배포를 기다려야 하는 상황이 벌어졌다"고 분통을 터뜨렸다.
다만 재단은 실제 이 사태로 인한 피해사례가 있는지는 언급하지 않았다.
이번 사태는 공식 패치 배포 전부터 연이어 터진 정보 유출의 연장선에 있었다.
PHP 개발진들은 당초 22일 패치를 배포하려 했지만, 지난 20일 온라인에 취약점 ID 등이 돌아다니기 시작하자 배포 일정을 하루 앞당겼다.
여기에 다른 보안업체 '캘리프'가 실수로 취약점 공격 시연 영상을 올렸다가 삭제하면서 해커들의 공격 도구 개발이 가속됐다고 재단은 지적했다.
이런 상황에서 체인가드의 기습 패치공개가 이어지면서 '시간차 방어망'이 무너졌다는 평가가 나온다.
특히 인공지능(AI) 도구의 발전으로 패치 코드를 역분석해 공격 도구를 만드는 속도가 과거와는 비교할 수 없을 정도로 빨라졌다는 점에서 이와 같은 공조 실패는 더욱 뼈아프다.
이 문제를 최초로 발견한 타이 두옹 캘리프 최고경영자(CEO)는 "어떤 사람이 패치를 가져다가 AI를 돌려보고, 이를 악용하는 스크립트를 게시할 수도 있다"며 "그러면 대혼란이 일어날 것"이라고 우려했다.
체인가드 측은 이와 같은 패치 유출에 대해 언급하지 않은 채 사회관계망서비스(SNS) 엑스(X·옛 트위터)에 "취약점의 공조 공개는 어려운 일"이라며 "지난 며칠 동안 이 문제를 해결하는 과정에서 모든 분들의 도움에 깊이 감사드린다"고 말했다.
한편, PHP 개발진은 2024년 외부 보안 감사에서 일부 결함의 징후를 포착했으나, 개발진 내부의 합의 난항과 기존 프로그램과의 호환성 우려 등으로 패치 작업이 표류했던 내막도 드러났다.
PHP 재단은 "우리는 사실을 감추지 않겠다"며 "이 지연은 보안 팀의 의사 결정 과정과 자원 부족 모두에 기인한 구조적 실패였다"고 자인했다.
comma@yna.co.kr
(끝)


<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>