【드래곤 스포츠】 보증업체놀이터추천홍보 : 프로그램제작판매제작의뢰 : 스포츠분석 : 무료스포츠중계tv : 섹시bj움짤 : 뉴스 : 안구정화

로그인

글쓰기

[IT뉴스]PHP 재단 "패치 지연은 구조적 실패"…AI가 취약점 찾아도 수정은 사람 몫

온카뱅크관리자

2026-10-24 10:47:25

<div id="layerTranslateNotice" style="display:none;"></div> PHP 핵심 취약점 2년 방치 경위 공개…오픈소스 보안 병목은 '검증·수정' 
 <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
 <section dmcf-sid="2sIUDukLvj">
 <figure class="figure_frm origin_fig" contents-hash="f7354737c4596569ed0589cf1667e404ae37d99d3062712313f1bf9fb907ca41" dmcf-pid="VOCuw7EolN" dmcf-ptype="figure">
 <img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/24/552796-pzfp7fF/20261024104225328scmm.png" data-org-width="640" dmcf-mid="9vyKC9OcSA" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/24/552796-pzfp7fF/20261024104225328scmm.png" width="658">
 </figure>
 [디지털데일리 이상일기자] PHP 재단이 최근 긴급 패치한 핵심 취약점의 대응 지연을 "구조적 실패"로 인정했다. 2024년 문제의 단서를 찾았지만 호환성 부담, 전문인력 부족, 합의 중심 의사결정이 겹쳐 수정이 늦어졌다는 설명이다.
 이번 사례는 인공지능(AI)으로 취약점 발견 속도가 빨라져도 검증과 수정 역량이 따라가지 못하면 보안 대응이 끝나지 않는다는 점을 보여준다. 재단은 PHP에 의존하는 기업과 공공기관에 지속적인 재정 지원을 요청했다.
 PHP 재단은 21일 공식 블로그에서 원격 코드 실행 취약점 2건의 수정 경위를 공개했다. 수정 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35다. 공통 취약점 식별번호(CVE·Common Vulnerabilities and Exposures)는 CVE-2026-109618과 CVE-2026-109619다. 심각도는 공통 취약점 점수 체계(CVSS·Common Vulnerability Scoring System) v4.0 기준 모두 9.2점이다. 특정 조건에서 인증 없이 서버 코드를 실행할 수 있다.
 첫 번째는 메모리 부족 상황에서 초기화되지 않은 내부 데이터를 정상 데이터처럼 처리해 메모리가 손상되는 문제다. 두 번째는 해제된 메모리를 가리키는 내부 상태가 남아 후속 요청에서 이를 다시 쓰는 문제다. 두 결함 모두 거의 모든 요청이 거치는 메모리 관리·오류 처리 영역에 있다. 재단은 수정 과정에서 성능과 호환성, 외부 확장 모듈 영향까지 따져야 했다고 설명했다.
 ◆왜 2년 가까이 고치지 못했나
 메모리 부족 문제의 단서는 2024년 외부 보안 감사 이후 나왔다. 당시 재단은 독일 소버린테크에이전시(Sovereign Tech Agency) 지원으로 오픈소스기술개선기금(OSTIF)을 통해 감사를 진행했다. 감사는 보안업체 쿼크스랩(Quarkslab)이 맡았다. 이후 재단과 계약한 핵심 개발자가 지적 사항을 고치다 이상 징후를 확인했다.
 당시 악용 가능성은 이론적으로 제기됐다. 구체적인 공격 경로는 확인되지 않았다. 보안팀은 영향이 분명한 다른 문제에도 대응해야 했다. 수정안도 여러 개 마련됐다. 하지만 각각 호환성을 깨거나, 새 서비스 거부 위험을 만들거나, 외부 확장 모듈 수정을 요구했다.
 합의로 운영되던 보안팀은 결론을 내지 못했다. 엔진을 깊이 아는 소수 개발자가 여러 업무를 함께 맡은 점도 영향을 줬다. 작업은 수개월간 중단과 재개를 반복했다. 재단은 이를 의사결정 방식과 자원 부족이 낳은 구조적 실패로 규정했다. 공격 경로가 없더라도 오래 풀리지 않는 핵심 결함을 제때 판단할 체계가 없었다는 것이다.
 전환점은 실제 공격 가능성을 입증한 연구였다. 재단에 따르면 보안업체 칼리프(Calif)는 '패치 더 플래닛(Patch the Planet)' 프로그램으로 7월30일 PHP 감사를 시작했다. 8월11일 연구자 라이언 A가 같은 근본 원인을 이용한 원격 코드 실행을 보고했다. 오픈AI도 독립적으로 같은 원인을 보고했다. 위즈(Wiz)와 오픈AI의 추가 공격 경로 보고가 이어졌다. 재단은 이들 보고로 문제의 파급력을 명확히 파악했다고 밝혔다.
 재단은 8월11일부터 수정 작업을 보안 인력의 최우선 과제로 삼았다. 여러 개발자가 전담할 수 있었던 배경으로는 재단의 재정 지원을 꼽았다. 분석에는 앤트로픽의 클로드 미토스(Claude Mythos), 오픈AI의 데이브레이크 레드 등 AI 도구를 메모리 오류 탐지 빌드, 플랫폼별 재현 환경과 함께 썼다.
 처리할 보고서도 늘었다. 재단에 따르면 보안팀은 7월1일 이후 CVE 15건을 공개했다. 유효하지 않거나 중복되거나 재현되지 않는 보고서도 100건 넘게 처리했다.
 재단은 AI가 보고서 검증과 같은 원인의 제보 분류를 돕지만 모든 판단과 패치에는 사람이 관여한다고 밝혔다. 엔진 설계 수정 방식, 호환성 영향, 부작용 여부를 가리려면 숙련 개발자가 필요하다는 것이다. 취약점 발견 능력의 향상은 곧바로 보안 대응 완료로 이어지지 않는다. 문제를 검증하고 수정 방안을 고른 뒤 다양한 운영 환경에 안전하게 배포할 역량이 함께 필요하다.
 ◆공개 과정에서는 무엇이 문제였나
 공개 전 온라인 커뮤니티와 소셜미디어에 취약점 식별번호가 먼저 퍼졌다. 심각도 10.0점이라는 잘못된 정보도 돌았다. PHP 프로젝트는 정식 공개를 10월22일에서 21일로 하루 당겼다. 배포판 업체들이 설치 패키지를 만드는 중이어서 즉시 공개 대신 준비 시간을 남기는 방식을 택했다. 칼리프는 공격 개념증명(PoC·Proof of Concept) 시연 영상을 실수로 올렸다. 영상은 삭제됐지만 복사본이 퍼졌다. 재단은 이 영상이 여러 PoC의 개발과 유통을 앞당겼다고 설명했다.
 체인가드(Chainguard)의 조기 배포는 논란이 됐다. 재단에 따르면 체인가드는 한국시간 10월21일 오후 4시41분 패치 이미지를 공개했다. 공동 공개 예정 시각인 오후 11시보다 6시간여 이르다. 재단은 공격자가 수정 바이너리를 분석할 시간을 얻었다고 비판했다.
 댄 로렌츠(Dan Lorenc) 체인가드 최고경영자는 다른 보안업체로부터 실제 악용 정보를 듣고 연구자들과 논의해 결정했다고 해명했다. 결과물은 고객이 아니어도 누구나 받을 수 있었다고 밝혔다. 사용자 보호를 위한 판단이었다는 주장이다. 유지관리자 부담을 키운 점은 사과했다.
 공격 시도와 실제 침해는 구분해야 한다. 재단은 공식 공개 시점까지 정상 작동하는 공격 코드를 확인하지 못했다고 밝혔다. 아마존웹서비스(AWS)는 10월17일부터 허니팟에서 악용 시도를 관측했지만 성공 여부는 불명확하다고 밝혔다. 조기 배포가 실제 침해로 이어졌다는 근거는 확인되지 않았다.
 이번 갈등은 공격 정보가 퍼진 상황에서 공개 시점을 누가, 어떤 근거로 정할지라는 과제를 남겼다. 신속한 패치와 전체 사용자의 업데이트 준비를 함께 고려하는 공동 대응 체계가 시험대에 올랐다.
 재단은 정부 서비스, 온라인 상점, 은행, 언론사가 PHP에 의존하지만 보안 업무는 소수 개발자와 자원봉사자에 기대고 있다고 설명했다. 이에 PHP 기반 기업, 호스팅·클라우드 사업자, 배포판 업체, 정부에 의존도에 맞는 지원을 요청했다.
 내부 체계도 바꾼다. 재단은 5월 생태계 보안팀을 만들었다. 7월과 9월에는 제보 처리와 보안 강화 인력을 보강했다. 보안팀이 다수결로 결정하도록 절차를 고치고, 중대 취약점을 지도부에 더 일찍 보고하는 체계도 추진 중이다. 재원 확보와 함께 의사결정 구조를 고쳐야 한다는 진단을 반영한 조치다. 복잡한 수정안 판단이 오래 미뤄지지 않도록 책임과 절차를 정비하겠다는 것이다.
 PHP 프로젝트는 두 취약점 업데이트를 권고했다. 지원이 끝난 버전은 공급업체 패치 제공 여부를 확인하거나 지원 버전으로 옮기라고 안내했다. 10월23일에는 특정 세션 설정에서 추가 원격 코드 실행 경로가 있다며 업로드 진행 추적 기능 비활성화를 별도 권고했다. 운영자는 설치 버전과 후속 공지를 함께 확인해야 한다.
 국내 기업과 공공기관도 사용 중인 오픈소스의 유지보수 주체, 보안 지원 범위, 지원 종료 후 전환 계획을 점검할 필요가 있다. 핵심 프로젝트 유지관리 역량을 확보하는 비용까지 고려해야 한다. AI 시대 오픈소스 보안의 병목은 발견이 아니라 검증과 수정이다. AI가 취약점을 찾는 속도가 빨라질수록 결과를 안전한 수정으로 연결할 사람과 조직의 역할은 커진다. 인터넷 서비스 기반을 유지하는 비용을 누가 지속적으로 부담할지가 남은 과제다.
 </section> 
 </div> 
 Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.

댓글 총 0개

이번주 포인트랭킹

매주 일요일 밤 0시에 랭킹을 초기화합니다.

14,000상품권
23,000상품권
32,000상품권

업체홍보/구인 더보기

놀이터홍보 더보기

지식/노하우 더보기

판매의뢰 더보기

포토 더보기