CVE 누적 394,368건 시각화한 CVE Tracker, 해커뉴스서 '숫자는 부풀려졌다' 논쟁

이거 우리 슬랙 #general에 올려야겠다. 내가 요즘 '약간' 바쁘다고 할 때 사람들이 왜 그러는지 좀 알겠다고.

SRE 자리 요즘 구하기 좀 나아졌나? 수요는 늘었어야 할 텐데. 내 경력이 그쪽이라 궁금하네.

SRE는 요즘 인프라나 플랫폼 엔지니어링으로 이름만 바뀐 느낌이고 SRE 타이틀 공고는 별로 없더라. k8s나 terraform 안 써본 경력이면 그냥 지옥임.

예전에 어디서 봤는데, 회사에서 업그레이드 요청이 계속 거절되니까 자기가 쓰는 부품에 CVE를 직접 따서 강제 업그레이드시킨 사례도 있다더라. 숫자는 의미 없다고 봐야 함.

리눅스 커널 쪽은 버그픽스마다 CVE를 다 부여한다고 공식 문서에 적혀 있음. 거의 모든 버그가 커널 침해로 이어질 수 있다는 이유라서, 결국 숫자는 부풀려진 것임.

부여 방식이 바뀐 건 아니고 숫자가 급증한 건 맞으니까, 숫자는 조심해서 읽어야 하지만 변화 자체는 실재함.

로그 스케일 옵션이 있길래 눌렀는데 차트는 안 바뀌고 사이트만 얼어붙더라. 나만 그런 줄 알았는데 여기도 그러네.

이거 또 LLM slop 프로젝트임. 소스 열어보면 한 파일에 다 때려넣고 클로드 냄새나는 장황한 주석만 잔뜩 달려 있음.

해커뉴스에 올라오는 소프트웨어면 slop인 게 당연하지. 요즘은 사람이 쓴 글 같으면 오히려 놀람.

버그 리포트는 패치 없으면 접수도 안 한다로 바꿨어. CVE-2026-40719도 그런 건데, recursion 허용된 IP가 분당 수백 패킷 던지면 DNS가 먹통 되는 거라 이미 flooding에 취약한 서버한테는 별 의미도 없는 공격임.

그 패치를 왜 만들었냐. 그냥 CVE 열어둔 채로 놔두면 아무도 뭐라 안 하는데.

severity 필터가 없어서 추세가 과장된 건가 의심했는데, critical만 따로 보면 2020년 대비 25배야. 전체 CVE가 5배인 것보다 훨씬 가파름.

CVSS severity는 비교가 안 됨. '취약한 컴포넌트'를 뭘로 잡느냐가 점수에 인코딩되지 않아서, 라이브러리 기준 critical이랑 실제 사이트 기준 critical이 같은 급으로 취급됨.

12,000건이라는 게 안 맞는데? 소스 데이터 클론해보니 2026년만 CVE json이 79,764개임. 내 RHEL 패치만 해도 올해 12,000건 넘게 했겠다.

월 12,000건임. 숫자 읽는 단위가 달랐던 거지.

DOGE가 사이버보안 기관들 예산을 이렇게 때려부쉈는데 CVE 발급이 급증한 게 신기함. 백로그가 얼마나 쌓였는지는 아무도 모름. MITRE 펀딩 만료 소식도 있었고.

기관들이 직접 취약점을 찾기나 해? 그냥 올라오는 걸 받아주는 캐시 가능한 사이트 아니었나.

CVE/CVSS 체계 자체가 이미 구식임. NIST도 CVE 분석을 사실상 멈췄고, responsible disclosure 논리도 AI 이전 시대에나 맞는 얘기임. 게다가 MITRE CVE/CWE 펀딩 만료 발표가 트럼프 행정부 후퇴로 겨우 끝난 판국이라, 이런 글로벌 프로그램을 미국이 쥐고 있는 것도 못마땅함.

CVE ID 원래 목적은 IP 주소처럼 그냥 식별자였음. 블록 단위로 부여되고, 그 번호가 뭘 가리키는지에 대해서는 아무 말도 안 해줌. 정부 DB는 한참 뒤에 나온 것임.

AI가 짠 코드 때문에 취약점이 쏟아질 거라 생각했는데, 뚜껑 열어보니 AI가 수십 년 묵은 인간 코드에서 취약점을 캐내고 있더라.

그 AI가 학습한 데이터가 바로 그 인간 코드임.

나는 장기 추세가 궁금함. 언젠가 low hanging fruit를 다 태워버리고 잠잠해질까, 아니면 이게 뉴노멀일까.