PHP 보안 취약점, '구조적 실패'로 늑장 대응…글로벌 웹사이트 마비

전 세계 정부 웹사이트와 온라인 서비스가 심각한 보안 취약점 패치가 지연되면서 일시적으로 중단되는 사태를 맞았다. PHP 재단은 2024년에 처음 발견된 치명적인 보안 결함에 대한 수정 작업이 내부적인 의사 결정 지연과 자원 부족으로 인해 늦어졌음을 인정하며, 이를 "구조적 실패"라고 규정했다. 이로 인해 전 세계의 정부 기관 및 다양한 조직들이 수요일(현지시간) 웹사이트를 차단하는 예방 조치를 취하는 동안, PHP는 두 가지 관련 치명적 취약점에 대한 긴급 패치를 배포했다. 이 취약점들은 인증되지 않은 공격자가 로그인 없이도 영향을 받은 서버에서 코드를 실행할 수 있도록 허용할 가능성이 있었다.

PHP는 콘텐츠 관리 시스템을 포함하여 웹사이트와 웹 애플리케이션의 동력으로 널리 사용되는 프로그래밍 언어이다. 패치 배포 이후 블로그 게시물에서 재단은 개발자들이 2024년에 이미 취약점의 징후를 발견했으나, PHP를 사용하여 구축된 방대한 소프트웨어 생태계를 방해하지 않고 해결책을 찾기 위해 고심했음을 설명했다. 재단은 "원격 코드 실행을 위한 알려진 경로의 부재와 엔진에 대한 깊은 지식을 가진 핵심 개발자 수가 적고 많은 책임에 얽매여 있었던 점을 감안할 때, 이러한 의사 결정 과정은 수개월 동안 수정 작업의 지연과 반복적인 재시작을 초래했다"고 밝혔다. 이어 "우리는 이를 숨기지 않을 것이다. 이번 지연은 보안팀의 의사 결정 과정과 자원 부족으로 인한 구조적 실패였다"고 덧붙였다.

보안 회사 Calif와 OpenAI가 독립적으로 동일한 근본적인 문제를 보고하고 Calif가 무조건적인 원격 코드 실행 가능성을 시연하면서, 보안 우선순위가 최고조에 달한 8월 11일, 재단은 다시 한번 이 취약점에 대한 경고를 받았다. 이번 취약점은 전 세계적으로 웹사이트 운영에 영향을 미쳤다. 개발자들은 긴급 수정 사항을 설치하기 위해 웹사이트 연결을 끊었다. 네덜란드는 디지털 신원 서비스를 차단했으며, 국가 사이버 보안 센터 역시 웹사이트를 오프라인으로 전환했다. 핀란드의 국영 IT 제공업체인 Valtori는 정부 공공 웹 서비스를 차단했으며, 프랑스 내무부 역시 현 웹사이트를 일시적으로 오프라인으로 전환했다. 로이터 통신에 따르면 독일의 연방 IT 제공업체인 ITZBund도 여러 웹사이트를 비활성화했다. 호주에서는 호주 신호 사령부(Australian Signals Directorate)가 운영하는 사이버 보안 웹사이트 cyber.gov.au가 PHP 문제로 영향을 받은 정부 웹사이트 중 하나라고 인정했다. 일본 총리 다카이치 사나에는 X(구 트위터)를 통해 웹사이트 운영자들에게 가능한 한 빨리 패치를 적용할 준비를 하도록 촉구했다. 그녀는 긴급 패치를 즉시 적용할 수 없는 경우, 웹사이트 기능을 일시적으로 중단하는 것이 위험을 줄일 수 있다고 게시물에서 언급했다. 위키피디아를 운영하는 위키미디어 재단은 자원봉사 개발자들이 사용하는 도구와 프로젝트를 호스팅하는 Toolforge 및 Cloud VPS와 같은 일부 지원 서비스를 예방 조치로 오프라인으로 전환했으며, 이로 인해 위키피디아의 일부 기능이 중단되기도 했다. 이번 사태는 암호화폐 커뮤니티에도 경각심을 일깨우고 있다. PHP는 많은 웹 기반 암호화폐 서비스 및 플랫폼에서 사용되는 핵심 기술이기 때문이다. 이번 취약점은 자칫 잘못될 경우 개인 키 탈취, 거래 내역 조작, 또는 서비스 중단 등 심각한 보안 문제로 이어질 수 있다. 따라서 암호화폐 관련 기업 및 개발자들은 이번 PHP 취약점 사태를 심각하게 받아들이고, 사용하는 시스템의 보안 점검을 강화하며, 관련 업데이트 및 패치 적용에 만전을 기해야 할 필요성이 제기되고 있다. 또한, 이러한 구조적인 문제로 인한 보안 취약점이 발견되었을 때, 개발 커뮤니티와 재단의 신속하고 투명한 소통 및 문제 해결 능력이 얼마나 중요한지를 다시 한번 보여주는 사례가 되었다. 앞으로 PHP 재단은 물론, 다른 오픈소스 프로젝트들도 이러한 구조적 실패를 반복하지 않기 위한 시스템 개선 및 자원 확보에 더욱 힘써야 할 것으로 보인다.