“해커에 시간 벌어준꼴”…일부 패치 배포업체, 6시간 앞서 유출 논란

입력 2026-10-22 08:12:49

공조 깨고 6시간 앞서 기습 공개

해커들에 코드 역분석 기회 준 셈

취약점 공격 시연 영상도 잠시 노출

2024년 외부감사서 이미 결함 징후

프로그래밍 언어 PHP의 보안 결함을 보완할 패치가 21일(현지시간) 배포된 가운데, 일부 업체가 약속된 시간보다 일찍 코드를 공개해 해커들에게 미리 코드를 분석할 수 있게 했다는 비판이 나오고 있다. [123RF]

[헤럴드경제=도현정 기자] 전 세계 웹사이트의 75% 이상에서 쓰이는 프로그래밍 언어 PHP의 보안 결함 패치 배포를 앞두고 일부 업체가 약속된 시간보다 이르게 코드를 공개해 파문이 일고 있다. 사용자들이 공식 배포를 기다리는 동안 해커들이 먼저 해당 코드를 분석해, 공격할 기회를 준 셈이기 때문이다.

PHP 재단은 21일(현지시간) 패치 배포업체인 ‘체인가드’가 공식 배포 예정 시간보다 약 6시간 이상 앞서서 패치가 적용된 이미지를 기습 공개했다고 지적했다. 재단은 공식 성명을 통해 “체인가드가 일방적으로 엠바고를 깼다”라며 “공조 공개를 위해 수많은 주체가 수 주 동안 기울인 노력을 무시한 행위”라고 강력히 비판했다.

패치가 예정보다 일찍 공개되면 해커 등 공격자들이 패치 코드를 역분석해서 공격 도구를 개발할 수 있다. 반면 이용자들은 정식 업데이트를 기다리는 상황이어서, 해커들에게만 6시간 먼저 ‘족보’를 제공한 셈이다. 해커들이 패치를 분석해 공격 도구를 개발하면, 정식 업데이트가 된 이후에도 이를 무력화하는 공격을 당할 수 있다.

재단은 “모든 공격자가 패치를 미리 연구할 수 있게 된 반면, 이용자들은 여전히 정식 배포를 기다려야 하는 상황이 벌어졌다”며 체인가드에 대한 비판의 목소리를 높였다. 재단은 실제 이 사태로 인한 피해사례가 있는지는 별도로 언급하지 않았다.

그러나 재단은 PHP 취약점 발견과 패치 배포 과정에서 또 다른 보안업체의 실수도 나와 해커들의 공격 도구 개발이 가속됐다고 전했다. 보안업체 ‘캘리프’가 실수로 취약점 공격 시연 영상을 올렸다가 삭제한 것이다. 이는 해커들에게 원 프로그램 공격 방법을 영상으로 확인하게 해준 셈이다. 특히 인공지능(AI) 도구의 발전으로 패치 코드를 역분석해 공격 도구를 만드는 속도가 과거와는 비교할 수 없을 정도로 빨라졌다는 점에서 보안 업체들의 연이은 실수는 큰 패착이 될 수 있다는 지적이 나온다.

이 문제를 최초로 발견한 타이 두옹 캘리프 최고경영자(CEO)는 “어떤 사람이 패치를 가져다가 AI를 돌려보고, 이를 악용하는 스크립트를 게시할 수도 있다”며 “그러면 대혼란이 일어날 것”이라고 말했다.

체인가드 측은 이와 같은 패치 유출에 대해 언급하지 않은 채 사회관계망서비스(SNS) 엑스(X·옛 트위터)에 “취약점의 공조 공개는 어려운 일”이라며 “지난 며칠 동안 이 문제를 해결하는 과정에서 모든 분들의 도움에 깊이 감사드린다”는 게시글만 올렸다.

한편, PHP 개발진은 지난 2024년 외부 보안 감사에서 일부 결함의 징후를 포착했으나, 개발진 내부의 합의 난항과 기존 프로그램과의 호환성 우려 등으로 패치 개발 작업을 진행하지 못했던 것으로 드러났다. PHP 재단은 “우리는 사실을 감추지 않겠다”라며 “이 지연은 보안 팀의 의사 결정 과정과 자원 부족 모두에 기인한 구조적 실패였다”고 자인했다.