PHP에서 심각한 취약점 두 건이 발견되어 전 세계 웹사이트가 긴급 보안 대응에 나섰다. 로이터 보도에 따르면 이 언어를 지원하는 비영리 조직 PHP Foundation의 상근 직원은 사무총장 1명이 전부다. 사무총장 Elizabeth Barron은 기업과 정부가 PHP에 크게 의존하지만 지원 자금은 그에 한참 못 미친다고 말했다.
- 인력 구조: 상근 직원은 사무총장 1명이고, 계약 인력 14명은 대부분 시간제다. 이사회는 무급 자원봉사이며 재원은 기부금과 보조금이다.
- 패치 조율: 재단은 외부 연구자, OpenAI, Wiz, Calif와 함께 취약점을 조사하고 수정 작업을 조율했다. 수요일에 배포된 패치도 이 협업의 결과다.
- 악용 여부: Cloudflare는 수백만 건의 해킹 시도를 보고했다. 그러나 재단은 공개 전이나 패치가 적용된 사이트에서 공격이 성공했다는 증거를 확보하지 못했다고 밝혔다. 협력사들도 패치된 시스템의 문제 징후를 전달하지 않았다.
- AI의 역할: AI는 10년간 숨어 있던 취약점을 찾는 데 도움을 줬고 프로그래머의 작업 효율도 높였다.
- 유지관리자 부담: 코드 변경 제안은 1년 전의 거의 2배로 늘었지만 기여자 수는 그만큼 늘지 않았다. 기여 코드와 버그 보고서를 검토하는 일에는 여전히 사람의 경험과 노력이 필요하다.
PHP로 만든 서비스를 운영하거나 납품한 경험이 있다면, 이번 일은 패치 적용 여부를 점검할 계기가 된다. 고객사 서버마다 PHP 런타임 버전이 제각각인 경우가 많으므로, 먼저 어디에 어떤 버전이 깔려 있는지 목록부터 만들어 두면 다음 공지가 나올 때 대응이 빨라진다. 또 PHP가 우리 사업의 기반이라면 재단 후원이나 사내 개발자의 업스트림 기여를 비용 항목으로 검토해 볼 만하다. 이미 만들어 둔 PHP 자산의 유지 비용을 일부 분담하는 셈이다. 버그를 제보할 때는 재현 절차와 영향 범위를 직접 확인해서 보내는 편이 좋다. AI로 만든 보고서와 변경 제안이 늘어난 만큼 검토자의 시간이 가장 부족한 자원이기 때문이다.
주의할 점도 있다. 이 기사에는 취약점의 식별 번호와 영향 버전이 나오지 않으므로, 실제 조치는 PHP 공식 보안 공지와 사용 중인 배포판의 업데이트 안내를 기준으로 해야 한다. 악용 증거가 없다는 말은 현재까지 확인된 범위일 뿐이니 패치를 미룰 이유가 되지 않는다. 원문 댓글에서는 후원 확대, 정부 지원, 라이선스 모델 등을 두고 의견이 갈렸는데, 모두 개인 의견이라 사실 확인이 된 내용으로 받아들이면 안 된다.
원문: PHP Foundation, 상근 직원 1명에 자금 부족 시달려… 사무총장이 밝혀 (GeekNews)