2026 년 10 월, 전 세계 웹사이트 약 70% 에서 사용되는 프로그래밍 언어인 'PHP'에 심각한 취약점이 2 개 발견된 사실이 밝혀졌습니다. 이 대응에 은밀하게 기여한 개발자에게 해외 매체 The Atlantic 의 찰리 워젤 기자가 인터뷰를 진행했습니다. The Man Who Saved the Internet Yesterday - The Atlantic https://www.theatlantic.com/technology/2026/10/man-who-saved-internet-php-vulnerability/689123/ 이번 취약점은 OpenAI 의 최첨단 모델을 사용한 보안 연구원들이 발견했습니다. 공격자가 이 취약점을 악용하면 서버를 완전히 제어할 수 있으며, 내부에 저장된 모든 데이터를 도용하거나 사이트를 정지시킬 수 있었습니다. PHP 를 관리하는 조직인 PHP Foundation 은 취약점을 조금 전에 파악했지만, 패치를 출시하기 전에 정보가 인터넷 포럼에 유출되어 패치를 생성하고 출시해야 하는 PHP Foundation 과, 패치를 적용해야 하는 전 세계 개발자, 그리고 그 사이에 취약점을 악용하려는 공격자 간의 경쟁이 시작되었습니다. 호스팅 기업인 Cloudflare 은 취약점 공개 후 악용 시도가 수백만 건 단위로 증가했다고 보고했습니다. 패치를 생성하는 데 기여한 사람은 체코에 거주하는 개발자 오토드레이 스루이 (Ondřej Sýkora) 입니다. 스루이氏は PHP Foundation 에서 일하지는 않지만, 비영리 단체 Internet Systems Consortium 의 DNS 엔지니어링 부서 디렉터로 근무하는 본업의傍ら, 볼로테어로서 패치를 유지보수하고 그 생성을 자동화하는 지원을 하고 있습니다. 워젤氏は「그의 작업과 다른 몇몇 사람의 작업 덕분에 수천 개의 웹사이트와 조직이 취약점을 신속하게 수정할 수 있었습니다. 이 48 시간 동안, 그는 인터넷 전체의 은밀한 영웅이라고 해도 과언이 아니었습니다」と評価し,氏へのインタビューを敢行しています.
워커스: 72 시간 동안 어떤 일이 일어났는지, 전문 지식이 없는 사람도 이해할 수 있도록 설명해 주세요. 스루이: 이번 주 초, PHP 프로젝트에서 프로그램에 중대한 취약점이 있다는 알림이 왔습니다. 그리고 향후 공개 예정이었던 취약점 정보가 누군가에 의해 유출된 사실이 드러나면서, PHP 프로젝트 내부에서는 릴리스 일정을 2 일 앞당겨야 한다는 판단을 내렸습니다. 일정이 앞당겨진 탓에 다소 어려운 일이 되었습니다.
워커스: 온라인에서는 큰 논란이 되고 있지만, 본인에게는 지난 48 시간이 그렇게 힘들지 않았다고 말씀하셨어요. 겉으로 보기에는 의외입니다. "이 문제를 수정할 책임이 있는 사람이 한 명 있는데, 그 사람은 기부 사이트를 통해 자신의 생계를 유지하고 있다"는 같은 내용의 게시물을 여러 번 보게 됩니다. 어느 정도 과장되었을 수도 있지만, 당신의 작업이 수백만 명의 사람들을 돕고 있다는 점에서는 어느 정도 사실일 것입니다. 왜 당신에게는 힘든 시간이 아니었을까요? 스러리: 이유는 몇 가지 있습니다. 하나는 제가 이 일을 20 년 이상 계속해 왔다는 점입니다. 제가 수행하는 작업의 대부분은 자동화되어 있습니다. 하지만 제가 힘들지 않게 된 가장 큰 이유는, 사실 제가 PHP 를 실행하는 시스템을 하나도 가지고 있지 않기 때문입니다. 인터넷 사용자에게 책임을 지고 있다는 점은 분명했지만, 이번에는 패키지를 준비할 시간이 있었습니다. 워커스: 그건 상당히 놀랍습니다. 스러리: 게다가, 제가 없더라도 사람들은 다른 출처에서 PHP 를 얻어 스스로 컴파일할 수 있었을 것입니다. 다만, 누구에게나 작업이 복잡해졌을 것입니다. 또한 PHP 를 즉시 업그레이드할 기술이 없는 사람들도 있었습니다. PHP 프로젝트가 한 일은 이 언어의 소스 코드를 릴리스하는 것이었습니다. 제가 하는 일은 그 소스 코드를 사람들이 자신의 서버에 설치할 수 있는 '패키지'라고 불리는 것으로 만드는 작업입니다. 이는 매우 편리하며, 작업을 더 빠르게 수행할 수 있고 설치를 자동화할 수도 있습니다. 같은 패키지를 수백 대, 수천 대의 서버에 설치할 수 있으므로 스스로 컴파일할 필요가 없습니다. 제가 대응하지 못했더라면 더 많은 시간이 걸렸을 것이고, 필요한 기술이 없는 사람들도 있었을 것입니다. 사실, 감사해야 할 것은 PHP 프로젝트입니다. 취약점에 대해 미리 알고 있고, 일반 공개 전에 접근할 수 있는 비밀의 일원으로서 제를 초대해 주셨기 때문입니다.
워커: 초대받았을 때 정말로 '나쁜 일이 생겼다'고 생각하셨나요? 스러: 인생의 어느 단계에서 '이건 위험하다. 수정해야 한다'고 생각했습니다. 하지만 적어도 나 자신은 패닉에 빠지지 않습니다. 많은 사람들에게는 패닉을 유발한 사건이었지만, 나에게는 '문제가 발생했다. 해결해야 한다. 이렇게 해결해 보자'는 느낌이었죠. 그리고 제대로 준비할 시간이 있었습니다. 충분히 준비할 시간이 없었더라면 큰 스트레스였을 것입니다. 내 입장에서 볼 때 스트레스는 없었습니다. 저는 이 일을 자원봉사자로 하고 있기 때문에, 만약 제가 버스에 치여 죽었다면 그건 다른 사람의 문제가 될 테니까요. 워커: 사이버 보안이나 오픈 소스 소프트웨어 세계에 대한 기사를 쓰려 할 때마다, 여러분처럼 이 일을 열정적으로 하는 유지 관리자 그룹을 만납니다. 대부분 그들 중 누구의 이름도 모릅니다. 하지만 예를 들어 여러분이 버스에 치여 죽었다면, 여러분을 대신할 사람들은 있을까요? 스러: 사실, 예상치 못한 사태에 대비한 계획을 세우고 있습니다. 소프트웨어 기업 Freexian 의 Raphaël Hertzog 과도 논의하고 있습니다. 내 강점은 풍부한 전문 지식이 있고, 무엇을 어떻게 조작해야 작동하는지 이해한다는 점입니다. 하지만 Freexian 에도 풍부한 전문 지식이 있으므로, 문제가 발생하면 그들을 통해 계승할 수 있을 것입니다. 어제부터 사람들이 소액의 기부부터 상당히 큰 금액의 기부까지 엄청난 속도로 보내고 있습니다. 기부를 해 주신 모든 분들께 감사드립니다. 워커: 이번에는 이렇게 신속하게 패치가 적용되지 않았더라면 어떻게 되었을까요? 스러: 다양한 일이 발생할 수 있었습니다. 가장 기본적인 것은 사이트가 해킹당하거나 중단당하는 것입니다. 이는 지금 인터넷 상에서 매일 일어나고 있습니다. 또 다른 가능성은 누군가가 접근 권한을 얻어 이 장치를 이용해 봇넷을 운영한다는 것입니다. 지금은 주로 조직 범죄가 이를 하고 있다고 생각합니다.地下室에 있는 개인이 재미로 하는 이야기가 아닙니다. 이러한 사람들은 봇넷 서비스를 판매하거나, 이익을 얻기 위해 서버에서 암호화폐 마이닝을 수행하는 경제적 동기를 가지고 있습니다. 그리고 이러한 일은 지금도 여전히 발생할 수 있습니다. 모든 사람이 PHP 에 패치를 적용하고 업데이트를 완료하고 있기 때문이죠.
워커스: X 에서 모든 PHP 릴리스에 패치가 적용되지 않았으며, 인터넷의 3 분의 1 이 사실상 영구히 손상되거나 취약한 상태에 있다는 게시물을 보았습니다. 이것이 사실인가요? 스루리: 그 첫 번째 정보는 정확하지 않습니다. 오래된 버전에도 패치를 적용하는 방법이 있습니다. 워커스: 즉, 인터넷의 3 분의 1 이 영구히 무력하다는 뜻은 아닙니다. 스루리: 네, 그것은 정확하지 않습니다. 업데이트 의지가 있다면 오래된 버전의 PHP 도 업데이트할 수 있습니다. 워커스: 인터넷의 특정 분야에서는 인프라가 단 1 명 또는 2 명에게 크게 의존한다는 사실에 놀라게 됩니다. 모든 것이 매우 취약하며 우려스러운 상황입니다. 어떤 변화를 원하시나요?
요약하자면, 물론이죠 (하지만 이 글을 읽어야 하며 우리는 모두 오토니에 꽃을 보내야 합니다)pic.twitter.com/q6o0CRIiLH
스리: 오픈소스에 처음 관여했을 때는 정말 재미있었습니다. 지금도 어느 정도는 재미있습니다. 하지만 환경은 변했습니다. 오픈소스는 때로 착취당하는 것처럼 느껴집니다. 제가 원하는 것은 오픈소스에 관여하는 사람들이 자신의 작업과 그 과정에서 투입한 수천 시간의 노력이 가장 혜택을 받는 사람들로부터 공정한 보상을 받을 수 있는 새로운 시스템을 찾는 것입니다. 기업들에게 이것이 착취임을 인식해 달라요. 어떤 착취도 지속 가능하지 않습니다. 이렇게 계속되면 결국 나쁜 결과를 초래할 것입니다. 오픈소스에 관여하는 사람들은 결국 실제로 일을 할 의지를 잃게 될 것이기 때문입니다. 와젤: 인터넷 전체가 당신의 노고에 감사하고 있습니다. 이러한 상황에서 일반인들이 인터넷의 보안 향상을 위해 할 수 있는 일이 있을까요? 스리: 전문가의 도움을 받으라고 추천합니다. 위기에 직면했을 때 우리는 모두 그렇게 합니다. 전문가에게 조언을 구하고 전문가를 신뢰하는 것입니다. 사람들이 의존하고 이러한 문제를 해결하고 있는 사람들은 무엇을 해야 하는지 이해하고 있다고 믿으세요. 우리가 할 수 있는 것은 그것뿐입니다.
원문 보기 | 출처: Gigazine