국제 국제일반

PHP 비상인데 패치 사전유출 논란…"공격징후 포착돼 조기배포"(종합)

연합뉴스

구글 검색 선호 매체 추가

공조 깨고 6시간 앞서 기습 공개…"공격자에 역분석 기회 제공한 셈" 비판 2024년 외부 보안감사서 이미 결함 징후 포착했던 사실도 드러나

PHP 비상인데 패치 사전유출 논란…"공격징후 포착돼 조기배포"(종합)
공조 깨고 6시간 앞서 기습 공개…"공격자에 역분석 기회 제공한 셈" 비판
2024년 외부 보안감사서 이미 결함 징후 포착했던 사실도 드러나

주요 기관 및 기구 통합 컴퓨터 긴급대응팀(CERT-EU) 웹사이트가 켜져 있는 모습 (출처=연합뉴스)

(샌프란시스코=연합뉴스) 권영전 특파원 = 전 세계 웹사이트의 75% 이상에서 쓰이는 프로그래밍 언어 PHP의 보안 결함 패치 발표 직전, 일부 업체가 약속된 시간보다 이르게 코드를 공개해 파문이 일고 있다.

PHP 재단은 21일(현지시간) 패치 배포업체인 '체인가드'가 공식 배포 예정시간보다 약 6시간 이상 앞서서 패치가 적용된 이미지를 기습 공개했다고 밝혔다.

재단은 공식 성명을 통해 "체인가드가 일방적으로 엠바고를 깼다"며 "공조 공개를 위해 수많은 주체가 수 주 동안 기울인 노력을 무시한 행위"라고 강력히 비판했다.

패치가 예정보다 일찍 공개되면 해커 등 공격자들이 패치 코드를 역분석해서 공격 도구를 개발할 수 있게 된다.

정식 업데이트가 제공되지 않는 상황에서 해커들에게 먼저 코드를 분석할 수 있는 6시간을 제공함으로써, 이용자들이 눈 뜨고 당할 수도 있는 위험을 초래한 셈이다.

재단은 "모든 공격자가 패치를 미리 연구할 수 있게 된 반면, 이용자들은 여전히 정식 배포를 기다려야 하는 상황이 벌어졌다"고 분통을 터뜨렸다.

다만 재단은 실제 이 사태로 인한 피해사례가 있는지는 언급하지 않았다.

이번 사태는 공식 패치 배포 전부터 연이어 터진 정보 유출의 연장선에 있었다.

PHP 개발진들은 당초 22일 패치를 배포하려 했지만, 지난 20일 온라인에 취약점 ID 등이 돌아다니기 시작하자 배포 일정을 하루 앞당겼다.

여기에 다른 보안업체 '캘리프'가 실수로 취약점 공격 시연 영상을 올렸다가 삭제하면서 해커들의 공격 도구 개발이 가속됐다고 재단은 지적했다.

이런 상황에서 체인가드의 기습적인 패치 공개가 이어지면서 '시간차 방어망'이 무너졌다는 평가가 나온다.

특히 인공지능(AI) 도구의 발전으로 패치 코드를 역분석해 공격 도구를 만드는 속도가 과거와는 비교할 수 없을 정도로 빨라졌다는 점에서 이와 같은 공조 실패는 더욱 뼈아프다.

이 문제를 최초로 발견한 타이 두옹 캘리프 최고경영자(CEO)는 "어떤 사람이 패치를 가져다가 AI를 돌려보고, 이를 악용하는 스크립트를 게시할 수도 있다"며 "그러면 대혼란이 일어날 것"이라고 우려했다.

이런 비판에 댄 로랜크 체인가드 최고경영자(CEO)는 "현장에서 실제 취약점 공격이 이뤄지고 있다는 징후를 여러 보안업체가 확인했다"며 "실제 공격 증거가 포착됐을 때 패치를 배포하도록 한 공조 취약점 공개 가이드라인에 따라 출시 결정을 내렸다"고 해명했다.

그는 "내 결정으로 더 큰 압박을 받게 된 PHP 재단과 관리자들에게 미안하다"고 덧붙였다.
체인가드 공식 엑스(X·옛 트위터) 계정은 이와 같은 패치 유출에 대해 언급하지 않은 채 "취약점의 공조 공개는 어려운 일"이라며 "지난 며칠 동안 이 문제를 해결하는 과정에서 모든 분의 도움에 깊이 감사드린다"고만 밝혔다.

한편, PHP 개발진이 2024년 외부 보안 감사에서 일부 결함의 징후를 포착했으나, 개발진 내부의 합의 난항과 기존 프로그램과의 호환성 우려 등으로 패치 작업이 표류했던 내막도 드러났다.

PHP 재단은 "우리는 사실을 감추지 않겠다"며 "이 지연은 보안 팀의 의사 결정 과정과 자원 부족 모두에 기인한 구조적 실패였다"고 자인했다.