주요 기관 및 기구 통합 컴퓨터 긴급대응팀(CERT-EU) 웹사이트가 켜져 있는 모습 [EPA=연합뉴스]

글로벌 웹 생태계의 75% 이상을 뒷받침하는 핵심 프로그래밍 언어 PHP의 치명적 결함을 해결하는 보안 패치가 공식 배포 일정보다 앞서 기습 유출되면서 전 세계 인터넷 시스템이 공격에 무방비로 노출되는 초유의 혼란이 발생했다.

PHP 재단은 소프트웨어 배포 협력사인 체인가드가 사전에 합의된 정식 출시 시점보다 6시간 이상 앞선 시점에 보안 수정 코드가 반영된 시스템 이미지를 전격 공개해 보안 협력 체계에 심각한 균열을 일으켰다고 규탄했다. 재단 측은 공식 성명에서 "체인가드가 일방적으로 엠바고를 깼다"며 "공조 공개를 위해 수많은 주체가 수 주 동안 기울인 노력을 무시한 행위"라고 강도 높게 비판했다. 정식 패치가 전체 시스템에 공급되지 않은 시점에서 수정 코드가 먼저 새어 나가면 해커들이 이를 역추적해 시스템을 뚫는 무기를 만드는 위험에 직면하게 된다.

이번 기습 유출로 인해 정규 업데이트를 기다리던 전 세계 시스템 관리자들은 방어 체계를 갖추지 못한 채 잠재적인 위협에 노출되는 사태를 맞았다. PHP 재단은 "모든 공격자가 패치를 미리 연구할 수 있게 된 반면, 이용자들은 여전히 정식 배포를 기다려야 하는 상황이 벌어졌다"고 비판하며 보안 공조 체계의 붕괴를 개탄했다. 현재까지 이번 사건으로 인한 실제 침해 사례는 공식적으로 확인되지 않았으나 현장의 불안감은 급속도로 증폭됐다.  

혼란의 배경에는 공식 배포 이전부터 이어진 연쇄적인 보안 정보 노출 문제가 자리 잡고 있었다. 개발진은 당초 배포 시점을 예정했으나 온라인상에 취약점 고유 번호가 유출되자 일정을 긴급히 앞당긴 상태였다. 여기에 다른 보안 전문업체인 캘리프 측이 취약점 공격 시연 영상을 온라인에 게시했다가 급히 회수하는 실책을 저지르면서 공격자들의 침투 도구 개발 작업에 속도가 붙는 악재가 겹쳤다.

특히 인공지능 기술의 비약적인 발전은 이번 보안 균열 사태의 파급력을 한층 치명적으로 끌어올렸다는 분석이다. 취약점을 최초로 포착한 타이 즈엉 캘리프 최고경영자는 "어떤 사람이 패치를 가져다가 AI를 돌려보고, 이를 악용하는 스크립트를 게시할 수도 있다"며 "그러면 대혼란이 일어날 것"이라고 인공지능 기반 역분석의 위험성을 경고했다. 방어용 패치를 역이용해 자동화된 악성 코드를 단시간에 생성할 수 있는 환경이 조성되면서 과거보다 공격 위협이 현저히 커졌다.

체인가드 측은 조기 배포가 현장 위협에 대응하기 위한 불가피한 조치였다고 항변했다. 댄 로랜크 체인가드 최고경영자는 "현장에서 실제 취약점 공격이 이뤄지고 있다는 징후를 여러 보안업체가 확인했다"며 "실제 공격 증거가 포착됐을 때 패치를 배포하도록 한 공조 취약점 공개 가이드라인에 따라 출시 결정을 내렸다"고 해명했다. 그러면서 "내 결정으로 더 큰 압박을 받게 된 PHP 재단과 관리자들에게 미안하다"고 고개를 숙였으나, 공식 소셜미디어 계정에서는 "취약점의 공조 공개는 어려운 일"이라며 원론적인 태도를 보였다.

보안 결함의 초기 대응이 수년간 지체된 구조적 병폐도 도마 위에 올랐다. 개발팀은 이미 지난 2024년 외부 보안 감사를 통해 해당 결함의 단초를 파악했음에도 내부 합의 도출의 난항과 기존 시스템과의 호환성 문제에 얽매여 개선 작업을 장기간 표류시켰던 것으로 드러났다. PHP 재단은 "우리는 사실을 감추지 않겠다"며 "이 지연은 보안 팀의 의사 결정 과정과 자원 부족 모두에 기인한 구조적 실패였다"고 과오를 자인했다.