'PHP 5부터 취했다'는 확산 주장과 공식 기준의 간극

CERT-EU의 발표에 따르면 인터넷에서 'PHP 5(2004년)부터 취약했다'는 바이럴 주장은 SNS 게시물에 기반한 추정으로, 공식적으로는 2012년 나온 PHP 5.4 이후 버전이 영향을 받는 것으로 정리됐습니다. Wiz와 Sansec의 기술 분석도 이 기준에 부합하는 내용을 담고 있었습니다.

Cloudflare의 보고에는 이 취약점을 노린 초기 공격 시도가 관측됐다는 내용만 담겼고, 실제 침해 사고로 이어졌다는 확인은 이번 사태 기준으로 나오지 않았습니다. 기관들이 서비스를 내린 것은 공격 확인에 앞서 예방 차원에서 내린 선택이었습니다.

출처와 규범, 별도로 분리해 봐야 할 지점

출처: 조사 출처

취약점은 AI를 활용해 발견된 것으로 알려졌으며 php.net과 GitHub의 php-src 저장소가 공개한 자료에서 패치 흐름을 따라 확인할 수 있습니다. Google Cloud는 자사 블로그를 통해 사용자 권장 조치를 안내했습니다.

'PHP 재단이 2024년 감사에서 결함 징후를 알고 미뤘다'와 '체인가드가 엠바고 6시간을 위반했다'는 주장은 WSJ 원문이 유료벽에 가려져 직접 확인되지 않았습니다. 국내 2차 보도를 경유한 단일 경로로만 접근 가능한 내용이어서 아직 확인되지 않았습니다.

Mallory의 집계를 Decrypt가 인용한 수치에 따르면 인터넷에 노출된 PHP 8.1 이하 호스트가 약 88만 개로, 패치를 적용하지 않은 서버가 상당수 남아 있습니다. 취약점 공개가 끝났어도 노출 표면은 그대로 남아 있는 셈입니다.

선제 중단이 남긴 것과 앞으로 확인할 지점

프랑스 정부 운영 뉴스 사이트 랑테르나트(Linternaute) 등 유럽 서비스 일부가 중단을 겪었으며, 네덜란드 정부도 관련 조치를 공지했습니다. 서비스 중단 비용과 침해 피해 사이에서 기관들이 예방 쪽을 택한 결과로 읽힙니다.

이번 PHP2shell 사태는 AI가 실제 코드 결함 발견에 투입된 대표적 사례로 기록될 가능성이 있습니다. 다만 잔여 노출 서버의 패치 진행 속도와 2024년 감사 관련 주장의 원문 검증은 앞으로 확인해야 할 지점으로 남아 있으며, 지금까지 확인된 사실과 확산된 해석을 겹쳐 보면 이번 보도는 대체로 사실입니다.