PHP 취약점 소동, 인터넷 기반의 취약성 드러내나… TechCrunch Equity에서 논의

이번 주 오픈소스 프로그래밍 언어 PHP에서 발견된 취약점을 받아, 사이트 운영자는 즉시 패치를 적용하거나, 그럴 수 없으면 사이트를 중단하도록 요구받았다. Equity 출연자인 Kirsten Korosec, Sean O'Kane, Anthony Ha는 이 소동이 앞으로도 반복될지 논의했다. 한편 기사 내 정정에 따르면, 취약점을 발견한 것은 OpenAI와 Wiz의 Hack the Planet에 참여한 사람인 연구자였으며, AI는 버그 악용에 사용된 것으로 알려졌다.

Anthony는 이 취약점이 수십 년 전부터 존재했던 것으로 이해한다고 말했다. 대규모 언어 모델(LLM)로 찾아낼 수 있다면 다른 사람도 찾아낼 수 있으므로, 패치를 내려면 공개할 수밖에 없고, 그것이 절박한 상황을 낳았다는 견해다. Kirsten은 PHP가 WordPress와 Drupal 등 CMS의 핵심이며, 웹사이트의 약 70%, 수천만 개 사이트와 관련돼 있다고 지적하면서 규모의 크기를 우려했다.

Sean은 취약점 공개 방식에 불만을 가진 사람이 많다고 말했다. OpenAI의 게시글에 자화자찬하는 면이 있었다는 점, 금수 조치보다 먼저 정보가 새어 나가 해커들 사이에서 경쟁이 벌어졌다는 점을 꼽았다. Cloudflare CEO인 Matthew Prince는 PHP2Shell을 노린 시도가 수백만 건에 달한다고 게시했다고 한다. 기반 부분의 문제에서는 관계자에게 개별적으로 알리기 어렵다고도 말했다.

Kirsten은 Amazon의 블로그 게시글도 언급했다. Amazon은 허니팟 네트워크를 통해 공개 전부터 악용 시도를 확인하고 있었다. 한편 같은 수준의 체제를 갖추지 못한 사이트나 정부 관련 사이트도 많다며 우려를 드러냈다. 또한 404 Media가 지적한 링크 끊김 문제를 언급하며, 패치를 적용하지 못한 채 폐쇄되는 사이트가 늘면 역사적인 정보가 사라질 수 있다고 말했다. 마지막으로 새로운 스타트업의 등장과 Nvidia 등이 제공하는 오픈소스 도구를 통한 보안 계층의 가능성도 언급했다.