글로벌 웹 프로그래밍 언어 PHP의 취약점 수정 프로그램이 공식 발표 전 유출돼 유럽 각국이 사이트 운영을 멈췄다.

PHP 재단은 배포 협력사인 체인가드가 21일 07시 41분(국제표준시·UTC)에 수정 패치 빌드 이미지를 일방적으로 내보냈다고 21일 알렸다. 공동 배포 기준 시각보다 6시간 이상 이른 시점이었다. 재단은 공격자가 바이너리 형태의 패치 코드를 거꾸로 분석해 해킹 수단을 마련할 시간을 벌게 됐다고 비판했다.

사전 유출 뒤 정해진 일정에 맞춰 나온 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35다. 인증 절차를 거치지 않은 침입자가 서버 내부에서 임의 코드를 구동하도록 허용하는 중대 취약점 2건을 바로잡는 내용이다. 재단 측은 사용자들이 즉시 업데이트해야 한다고 당부했다.

유럽 주요국은 즉각 시스템 차단 조치를 취했다. 네덜란드는 국가사이버보안센터 권고에 따라 여러 국가 기관의 대외용 웹사이트를 오프라인으로 돌렸다. 핀란드 정부는 공공 네트워크 서비스를 중단해 대규모 접속 장애를 겪었으며, 벨기에 역시 외무부와 사이버보안센터 등 국가기관 및 일부 지방자치단체 웹사이트 운영을 멈췄다.

재단 보안팀은 개념 증명(PoC) 사례들을 면밀히 감시하고 검증했으나 기능적 결함은 아직 찾지 못했다고 설명했다. 이어 웹의 큰 비중을 책임지는 PHP 보안 작업이 소수 개발자와 자원봉사자에 기대고 있다며, 전문 기술 인력을 확보하고 보안팀 자원을 뒷받침할 수 있도록 사용자들의 자금 지원을 요청했다.