PHP 취약점 대응으로 네덜란드 NCSC와 DigiD 등 정부 서비스가 예방적으로 일시 중단됐다. 당시 정부는 악용 징후를 확인하지 못했다고 밝혔다. Wiz는 AI를 이용해 시험 환경의 WordPress, Drupal, Joomla에서 비인증 코드 실행과 별도의 메모리 유출을 실증했다고 공개했다. PHP 재단은 2024년 발견한 메모리 부족 처리 문제가 호환성 논쟁과 인력 부족으로 지연됐다며 의사결정과 상급 보고 절차를 고치겠다고 했다. OpenAI는 유지보수자 중심의 검증과 수정, 공급자 준비, 정부 및 핵심 기반시설 통보, 업데이트, 사후 안내를 잇는 5단계 공조안을 제시했다. 이는 새 대응 절차 제안으로 기존 패치 적용을 대신하지 않는다.
테크로 돌아가기
테크
PHP 보안 사태, 정부 사이트 중단과 대응 체계 개편
패치 적용뿐 아니라 취약점 의사결정과 공개 순서의 병목도 줄여야 합니다.
출처
- Today's PHP Security Release, and How We're Strengthening PHP Security — The PHP Foundation — Supporting, Advancing, and Developing the PHP Language
- Patch the Planet: global response coordination as agents uncover critical vulnerabilities
- NCSC: Ernstige kwetsbaarheden in PHP
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
- Aantal websites Rijksoverheid preventief offline na kwetsbaarheden PHP