Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
네덜란드 국가사이버보안센터(NCSC)의 웹사이트가 PHP 취약점 문제로 일시 중단된 사례를 언급하며, 보안 패치 공개 방식과 소프트웨어 업계의 전반적인 보안 관리 태도를 비판합니다. 특히 핵심은 패치를 공개할 경우 공격 방법까지 노출되므로, 관련 기관과의 사전 조율을 통해 비공개적으로 대응하는 것이 더 안전하다는 점을 지적합니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 GeekNews의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기벨기에 사이버보안센터에 대해 아는 건 없지만, 25년간 보안 문제로 악명 높고 15년 전부터 사실상 구식 취급을 받은 플랫폼을 쓴다는 것만으로도 신뢰하기 어려움.
보건부가 직원들에게 거머리 치료를 권하는 격임.
네덜란드 웹사이트 상당수가 내려간 듯하며, 최근 도입된 규정 때문인 것 같음. 이 취약점이 알려진 만큼 심각하다면 사이트를 일시 중단하는 대응은 적절하다고 봄. Cloudflare 같은 업체도 공개 후 몇 시간 안에 관리형 WAF 규칙을 추가할 것 같음.
다만 핵심은 PHP 패치를 공개하면 공격 방법도 드러난다는 것 같은데, 관련 기관과 주요 배포판에 비공개로 사전 조율해 공격 방법을 드러내지 않고 패치하도록 하는 편이 낫지 않았을까?
PHP 7 이후로 업그레이드를 고집스럽게 거부하다가 이제 새 9.2의 호환성 깨지는 변경을 마주한 PHP 4~6 개발자들에게 심심한 위로를 보냄.
약 4년 전 다니던 회사에서 PHP 5에서 8로 업그레이드하려고 치열하게 싸웠음. 5의 지원 종료 때문이었던 것 같은데, 그 부분은 기억이 틀릴 수 있음.
소프트웨어 업계에서 일해 본 바로는, 일반 개발자 대다수가 사용하는 소프트웨어의 보안 패치 지원 기간에 별 관심이 없는 것 같음.
9.2로 업그레이드하기보다는 패치를 4~6에 역이식하는 편이 쉬울 것 같음. 공개되고 나면 늘 그렇듯 아무도 필요로 하지 않는 골치 아픈 기능을 끄는 간단한 조치일 가능성이 큼.
내려간 건 NCSC의 공개 웹사이트임. 내부에서 무슨 희한한 독점 소프트웨어를 쓰는지는 알 수 없음.
그래도 이런 때일수록 99%가 정적인 공개 웹사이트는 누구나 접속할 수 있도록 정상 운영돼야 함. PHP를 쓴 것도, 대체 운영 계획을 마련하지 않은 것도 임무 수행의 완전한 실패임.
해킹 목적이 항상 데이터 탈취인 것은 아님. 공신력 있는 웹사이트를 장악해 자격 증명 탈취 프로그램이 든 가짜 PHP 패치를 배포하면 큰 문제가 됨.
PHP 패치를 5분 뒤에 공개하는 것 아닌가? 그걸 올릴 웹사이트는 Perl Catalyst, Ruby on Rails, Django 중 뭘로 돌아가는지? 패치를 배포하는 사이트 자체는 괜찮을지 모르겠음.