▶ PHP 재단, 체인가드의 조기 공개가 공동 대응을 훼손했다고 비판
▶ 체인가드, 실제 공격 징후를 확인해 배포했다고 해명

PHP 보안 결함을 고치는 패치가 예정된 공동 공개 시각보다 6시간 이상 먼저 배포되면서, PHP 재단과 패치 배포업체 체인가드가 공개 결정의 적절성을 놓고 맞섰다.

PHP 재단은 21일 체인가드가 패치가 적용된 이미지를 일방적으로 공개해 여러 참여자가 준비해 온 공동 대응을 훼손했다고 비판했다.

재단은 정식 업데이트를 기다리는 이용자가 있는 동안 공격자가 먼저 패치 코드를 분석할 기회를 얻었다고 우려했다.

패치에 반영된 변경 사항을 역분석하면 결함을 겨냥한 공격 도구 개발에 활용될 수 있지만, 재단은 이번 조기 공개로 실제 피해가 발생했는지는 밝히지 않았다.

공개 전부터 이어진 정보 노출

PHP 개발진은 애초 22일 패치를 배포할 계획이었으나, 20일 온라인에 취약점 식별 정보 등이 퍼지자 일정을 하루 앞당겼다.

PHP 재단은 다른 보안업체 캘리프가 취약점 공격 시연 영상을 실수로 게시했다가 삭제한 일도 공격 도구 개발을 촉진할 수 있었다고 지적했다.

이 문제를 처음 발견한 타이 즈엉 캘리프 최고경영자는 인공지능 도구를 이용해 패치를 분석하고 악용 스크립트를 공개할 가능성을 우려했다.

체인가드의 댄 로랜크 최고경영자는 여러 보안업체가 실제 공격이 이뤄지는 징후를 확인했으며, 공격 증거가 포착됐을 때 패치를 배포하도록 한 공동 공개 지침에 따라 결정했다고 해명했다.

그는 자신의 결정으로 PHP 재단과 관리자들이 더 큰 압박을 받게 된 데 대해 사과했다.

2024년 감사에서 포착된 결함 징후

PHP 개발진이 2024년 외부 보안 감사에서 일부 결함의 징후를 파악하고도 내부 의사 결정의 어려움과 기존 프로그램과의 호환성 우려 등으로 패치를 늦춘 사실도 드러났다.

PHP 재단은 패치 지연에 보안팀의 의사 결정 과정과 자원 부족이 함께 작용했다며 구조적 실패를 인정했다.