배포업체 체인가드 공조 깨고 사전공개 논란

PHP 재단이 인공지능(AI)이 탐지한 보안 결함에 대응하기 위해 수정 패치를 배포했으나 일부 업체가 약속된 시간보다 이르게 코드를 공개해 파문이 일고 있다. 사용자들이 공식 배포를 기다리는 동안 해커들이 먼저 해당 코드를 분석해, 공격할 기회를 준 셈이기 때문이다.

PHP 재단은 21일(현지시간) 패치 배포업체인 ‘체인가드’가 공식 배포 예정 시간보다 약 6시간 이상 앞서 패치가 적용된 이미지를 기습 공개했다고 지적했다. 재단은 공식 성명을 통해 “체인가드가 일방적으로 엠바고를 깼다”라며 “공조 공개를 위해 수많은 주체가 수 주 동안 기울인 노력을 무시한 행위”라고 강력히 비판했다.

패치가 예정보다 일찍 공개되면 해커 등 공격자들이 패치 코드를 역분석해서 공격 도구를 개발할 수 있다. 해커들이 패치를 분석해 공격 도구를 개발하면, 정식 업데이트가 된 이후에도 이를 무력화하는 공격을 당할 수 있다. 재단은 “모든 공격자가 패치를 미리 연구할 수 있게 된 반면, 이용자들은 여전히 정식 배포를 기다려야 하는 상황이 벌어졌다”며 체인가드에 대한 비판의 목소리를 높였다.

재단은 PHP 취약점 발견과 패치 배포 과정에서 또 다른 보안업체의 실수도 나와 해커들의 공격 도구 개발이 가속됐다고 주장했다. 보안업체 ‘캘리프’가 실수로 취약점 공격 시연 영상을 올렸다가 삭제한 것이다. 이는 해커들에게 원 프로그램 공격 방법을 영상으로 확인하게 해준 셈이다. 특히 인공지능(AI) 도구의 발전으로 패치 코드를 역분석해 공격 도구를 만드는 속도가 과거와는 비교할 수 없을 정도로 빨라졌다는 점에서 보안 업체들의 연이은 실수는 큰 패착이 될 수 있다는 지적이 나온다.

이 문제를 최초로 발견한 타이 두옹 캘리프 최고경영자(CEO)는 “어떤 사람이 패치를 가져다가 AI를 돌려보고, 이를 악용하는 스크립트를 게시할 수도 있다”며 “그러면 대혼란이 일어날 것”이라고 말했다.

패치 유출에 대한 비판이 고조되자 댄 로랜크 체인가드 CEO는 “현장에서 실제 취약점 공격이 이뤄지고 있다는 징후를 여러 보안업체가 확인했다”라며 “실제 공격 증거가 포착됐을 때 패치를 배포하도록 한 공조 취약점 공개 가이드라인에 따라 출시 결정을 내렸다”고 해명했다. 그는 “내 결정으로 더 큰 압박을 받게 된 PHP 재단과 관리자들에게 미안하다”고 전했다.

한편, PHP 개발진은 지난 2024년 외부 보안 감사에서 일부 결함의 징후를 포착했으나, 개발진 내부의 합의 난항과 기존 프로그램과의 호환성 우려 등으로 패치 개발 작업을 진행하지 못했던 것으로 드러났다. PHP 재단은 “우리는 사실을 감추지 않겠다”라며 “이 지연은 보안 팀의 의사 결정 과정과 자원 부족 모두에 기인한 구조적 실패였다”고 자인했다. 도현정 기자


kate01@heraldcorp.com