PHP 보안 패치 사전유출 파장…일부 유럽 국가들 시스템 오프라인 전환

사전 제공받은 패치 배포업체 ‘체인가드’, 약 6시간 먼저 유출 사고

PHP 재단 “아직 기능적인 취약점을 발견하지 못해”

재단측 “소수의 자원봉사자에 의존 사용자들 지원 요청”

[서울=뉴시스] 보안 프로그램 패치 사전 유출로 대응책 마련에 부심하고 있는 PHP 재단 로고.(출처: 재단 홈페이지) 2026.10.22.
 *재판매 및 DB 금지

[서울=뉴시스] 구자룡 기자 = 전세계적으로 사용되는 프로그래밍 언어 PHP의 보안 결함 패치 발표를 앞두고 패치를 사전 제공받은 업체가 실수로 사전 유출하는 ‘사고’가 발생해 어떤 피해가 발생할지 관심이 되고 있다.

일부 유럽 국가들은 시스템을 오프라인으로 전환해 해킹에 대비하고 있는 것으로 나타났다.

21일 PHP 재단에 따르면 패치 배포업체인 ‘체인가드’가 예정된 시간보다 약 6시간 이상 앞서서 패치가 적용된 이미지를 공개했다.

재단에 따르면 8월 해킹 관련 문제점을 파악한 뒤 근본적인 문제를 해결하는 패치를 배포했다. 이는 사용자들이 신속하게 업데이트할 수 있도록 미리 패치를 받은 것이다. 

다른 배포업체들과 마찬가지로 체인가드 역시 패치를 미리 받아 사용자들이 취약점이 공개되는 즉시 업데이트할 수 있도록 준비해 둔 상태였다.

PHP 재단 예정된 시간 패치 공개 “아직 기능적인 취약점을 발견하지 못해”

체인카드는 21일 07시 41분(UTC·국제표준시) 공동 배포 예정 시간보다 6시간 이상 앞서 일방적으로 엠바고를 깨고 수정 패치가 포함된 빌드 이미지를 공개했다고 재단측은 밝혔다

패치가 사전 공개돼 공격자가 다른 PHP 사용자들이 공식 배포를 기다리는 동안에도 바이너리 형태로 수정 패치를 연구할 수 있게 됐다.

이는 여러 당사자들이 공동 공개를 위해 수주 동안 기울인 노력을 무산시킨 행위라고 재단은 비난했다. 해커들이 약 6시간 동안 패치 코드를 역분석해서 해킹 도구 등을 개발할 시간을 주었다는 것이다.

사전 유출 사건 발생 후 예정된 시간에 PHP 8.5.12, 8.4.27, 8.3.36 및 8.2.35 버전을 공개했다.

이 버전들은 특정 조건에서 인증되지 않은 공격자가 PHP가 실행되는 서버에서 코드를 실행할 수 있도록 허용하는 두 가지 심각한 취약점을 수정하는 것이라고 재단측은 설명했다.

재단측은 PHP를 사용하고 있다면 지금 바로 업데이트해야 한다고 권고하고 사이트(php.net) 공지문에 취약점, 공격 경로 및 업데이트 방법에 대한 자세한 기술적 내용이 포함되어 있다고 설명했다.

패치가 사전 유출됐으나 PHP 보안팀이 개념 증명(PoC)들을 면밀히 모니터링하고 검사했지만 아직 기능적인 취약점을 발견하지 못했다고 밝혔다.

이같은 사전 유출 파동에 일부 유럽 국가들은 주요 웹사이트를 오프라인으로 전환하는 등 긴급 대응에 나섰다.

네덜란드는 여러 국가 기관이 국가사이버보안센터의 권고로 대외용 웹사이트를 오프라인으로 전환했다.

핀란드는 정부 공공 네트워크 서비스를 오프라인으로 전환해 광범위한 접속 불능 사태가 벌어지고 있다.

벨기에는 외무부와 사이버보안센터 등 국가기관과 일부 지자체가 웹사이트 운영을 중단했다.

재단측 “소수의 자원봉사자에 의존, 사용자들 지원 요청”

PHP는 정부 서비스, 온라인 상점, 은행, 미디어 사이트, 그리고 기업들이 매일 사용하는 수많은 소프트웨어를 포함하여 웹의 상당 부분을 차지하고 있다.

하지만 PHP 자체의 보안 작업은 여전히 재단 지원을 받는 소수의 개발자와 약간의 자원봉사자들에게 의존하고 있다.

재단은 오늘날 도구들은 방어자와 공격자 모두에게 그 어느 때보다 빠르게 버그를 찾아낼 수 있는 상황이라고 설명했다.

PHP 재단의 핵심 사명은 PHP 코드베이스에 대한 깊은 지식을 갖춘 엔지니어 수를 늘리고 보안 팀에 필요한 리소스를 제공하는 것이라며 PHP를 사용하는 분들의 자금 지원이 있어야만 달성할 수 있다고 호소했다.


◎공감언론 뉴시스 [email protected]