이 글은 LLM이 작성한 것인지 궁금함. ‘기술 심층 분석’의 절반은 앞서 나온 영향 범위와 파급력을 되풀이할 뿐이고, 다 읽고도 공격이 구체적으로 어떻게 작동하는지 제대로 이해하기 어려움.
작동 원리를 굳이 왜 알려고 하겠는가? OpenAI의 천재들과 그 대단한 AGI가 무시무시한 버그를 찾았으니, 복잡한 생각은 접어두고 패치를 받으면 된다는 식임.
패키지 업데이트도 어려울 수 있으니, 천재 AGI에게 적용법을 알려줄 MD 파일까지 챙겨준다는 셈임.
신고부터 공개까지 두 달이 걸린 이유를 설명해 줄 수 있는가? 책임 있는 취약점 공개라는 개념은 이해하지만, 심각성과 일정을 보면 납득하기 어려움. 특히 신고 접수를 확인하기까지 한 달이나 걸린 이유가 궁금함.
추가로 찾아보니 이미 5년도 더 전에 신고된 취약점이라고 함. 알아볼수록 더 혼란스러워지니, 지난 10년간 PHP를 의도적으로 피해온 내가 아니라 PHP를 잘 아는 누군가가 사실에 충실한 사후 분석을 써주길 바람.
[0] https://news.ycombinator.com/item?id=50181395.
본문에 따르면 연구 전반에 Wiz Atlas, Gemini 4 Argon, GPT-5.6 Sol을 사용했으며, 특히 Gemini 4 Argon이 취약점 발견, 공격 코드 개발, 공격 탐지, 패치 검증에 매우 크게 기여했다고 함.
먼저 자신들이 파는 제품을, 그다음에는 사전 접근 권한을 받은 제품을 내세움. 두 달을 기다렸다는 건 알지만, 수정본이 나온 지 몇 분 만에 공개하기보다는 조금 더 기다리는 편이 현명하지 않았을까?
엉뚱한 질문일 수도 있지만, PHP도 Project Glasswing 대상인가? 이 취약점이 10년이나 잠복해 있었다니 놀랍고, 또 무엇이 숨어 있을지 생각하면 무서워짐.
대부분의 게시판을 비롯해 PHP로 만든 서비스가 많음. 동적 웹이 보편화되기 전에는 매우 인기가 높았음.
수정 사항을 검증할 코드를 구할 수 있는 신뢰할 만한 출처를 찾은 사람이 있는가?
결함은 최소 20년 된 코드에 있었으며, AI가 발견했다는 취약점에서 이런 양상이 자주 보임. 취약점 발견이나 공격 코드 작성에 든 연산 비용은 공개하지 않으면서, 인류 최초로 원격 코드 실행(RCE) 취약점을 발견한 것처럼 홍보함.
나도 코드가 처음 작성된 뒤 10년간 존재한 심각한 보안 결함을 발견한 적이 있음. 다른 작업을 하던 중 AI 에이전트가 우연히 해당 파일을 살펴보다가 누락된 부분을 찾아냄.
수년간 모든 테스트와 보안 검사를 통과했지만, 코드의 의도는 검증되지 않았던 것임. AI가 모든 코드를 다시 쓰기 전까지는 공격에 악용할 결함이 끝없이 나올 것으로 예상함.
나도 AI를 회의적으로 보는 편이지만, 수천 명이 읽고 검토하면서도 놓친 20년 된 코드의 결함을 찾았다면 오히려 더 눈에 띄는 성과 아닌가?
오랫동안 존재했고 상당히 많은 웹사이트에 영향을 주는 RCE 취약점임. 더구나 기업의 WordPress 사이트 등이 뚫리면, 이를 발판으로 네트워크의 더 보호된 영역까지 침투할 수 있음. 충분히 심각하게 다룰 만함.
PHP RCE는 심각한 사안임. 외부에 노출된 서비스 상당수가 Drupal이나 WordPress이고, 임베디드 시스템과 전용 장비, 완제품 형태의 소프트웨어까지 PHP가 어디에 쓰이는지 전부 알기도 어려움.
PHP는 왜 보안 강화가 이토록 어려운지 모르겠지만 보안상 지뢰밭이나 다름없음. 외부에 공개된 시스템이 워낙 많아 RCE가 있으면 공격도 쉬워지므로, 나는 이 이유만으로 PHP 기반 애플리케이션 도입을 거부함.
이런 식의 ‘보안 연구’ 포장이 지겨움. 수익으로 연결하려고 로고와 브랜드까지 모두 준비해야 하는가? 실제로 심각한 사안이었는지, 인위적으로 부풀린 것인지 의심하게 됨.
특히 공개 과정까지 이렇게 엉망으로 처리했으니 더 그럼. 버그를 찾았으니 제품을 사라고 하지만, 그 버그를 유출한 것도 자신들임.
사람의 기여는 빠지고 AI만 내세우는 셈임.
취약점을 찾으려고 방치된 소스 코드를 끝없이 뒤지는 작업은 많은 사람에게 그다지 보람찬 일이 아님. 잠들지 않는 AI에 딱 맞는 활용처임.
두 버그 모두 AI 등장 전에 이미 신고됐다고 함. 사실이라면 왜 해당 신고들이 수정으로 이어지지 못하고 누락됐는지 반드시 따져봐야 함.