PHP 재단은 '구조적 실패'를 인정했습니다: 2024년에 처음 발견된 치명적인 취약점에 대한 수정이 결정 부족과 자원 부족으로 인해 지연되었습니다. 관련된 두 가지 치명적인 취약점은 인증되지 않은 공격자가 영향을 받은 서버에서 코드를 실행할 수 있게 했으며, 긴급 패치가 수요일에 발표되었습니다.
재단의 블로그는 '우리는 다르게 가장하지 않을 것입니다: 지연은 보안 팀의 의사 결정 과정과 자원 부족으로 인한 구조적 실패였습니다,'라고 명시합니다. 개발자들은 광범위한 PHP 소프트웨어 생태계를 방해하지 않고 빠르게 해결책을 제안할 수 없었으며, 깊은 엔진 지식을 가진 소규모 팀은 인력이 부족했고 원격 코드 실행에 대한 알려진 경로가 없었습니다.
재단은 8월 11일에 다시 취약점에 대해 경고를 받았습니다: Calif와 OpenAI가 독립적으로 동일한 문제를 보고했으며, Calif는 무조건적인 원격 코드 실행을 시연했습니다. 이것은 문제를 우선 순위로 만들었습니다.
수요일에 전 세계의 정부 웹사이트와 서비스가 패치 설치 중에 오프라인 상태가 되었습니다. 네덜란드는 디지털 식별 서비스를 비활성화하고 국가 사이버 보안 센터의 사이트를 비활성화했으며, 핀란드의 Valtori는 공공 정부 웹 서비스를 오프라인으로 전환했고, 프랑스 내무부는 주정부 사이트를 비활성화했으며, 독일의 ITZBund는 여러 사이트를 오프라인으로 전환했다고 Reuters는 보도했습니다. 호주의 Signals Directorate (ASD)는 사이버 gov au 사이트가 영향을 받았다고 확인했습니다. 일본의 다카이치 사나에 총리는 운영자들에게 가능한 한 빨리 패치를 설치할 것을 촉구하고 기능을 일시적으로 비활성화하는 것이 위험을 줄인다고 언급했습니다.
위키미디어 재단은 수요일에 Toolforge와 Cloud VPS를 일시적으로 비활성화하여 자원봉사 도구와 프로젝트를 호스팅하면서 Wikipedia의 부분적인 이용 불가를 초래했습니다. Cardano 조직 Intersect는 위험을 평가하는 동안 회원 영역을 비활성화했습니다.
블록체인 보안 회사 SlowMist는 1,488개의 도메인을 조사하여 793개에서 PHP의 직접적인 흔적을 발견했으며, 거래소, DeFi 플랫폼 및 지갑 제공자에게 노출을 확인하고 업데이트할 것을 촉구했습니다.
Coinbase의 최고 보안 책임자 Jeff Lunglhofer는 회사에서 취약한 PHP 인스턴스가 발견되지 않았다고 말했으며, 그러한 보고가 있을 경우 회사는 전체 검사를 수행하고 타사 공급업체와 협력한다고 덧붙였습니다. BitGo도 플랫폼이 영향을 받지 않았다고 보고했습니다. Binance 공동 창립자 Changpeng Zhao는 앞으로 며칠 동안 사이트를 방문할 때 '특별히 주의'할 것을 촉구했습니다. OpenAI는 GitHub에 Codex라는 도구를 출시하여 운영자가 취약한 PHP 버전을 확인할 수 있도록 도왔습니다.
PHP 보안 팀은 공개 발표 당시 기능적인 익스플로잇이 식별되지 않았다고 보고했습니다.
이 자료는 정보 제공 목적으로만 작성되었으며 재무 자문이나 권장 사항을 구성하지 않습니다.
관련 도움말
