Amazon, PHP2Shell 공개 4일 전 익스플로잇 시도 포착

Cloudflare는 공개 전에 수천 건, 공개 후에 수만 건, 지금은 수백만 건 시도를 봤다는 트윗이 있더라. Chainguard 이미지가 14시 UTC보다 몇 시간 먼저 나와서 타임라인이 헷갈림.

Chainguard가 PHP Foundation 글 기준 7시 41분 UTC에 배포했고 공격 관련 트윗은 7시 43분에 올라옴. 내 기억으로는 Cloudflare가 공격을 보고 있어서 Chainguard가 엠바고를 깬 이유 중 하나였음.

우리 쪽 로그에도 LLM 봇이 만든 것 같은 multipart POST 시도가 패치 한 시간 전부터 찍힘. 프록시에서 막았는데 9시 GMT 무렵에도 작은 묶음이 잡혔음. 다른 오래된 익스플로잇일 가능성도 있음.

서버 로그에서 탐색(probe)은 봤는데 실제로 동작하는 익스플로잇은 아직 못 봄. GitHub에 바이브코딩 시도가 수백 개 있는데 제대로 되는 건 없는 것 같음.

Amazon이 17일에 알았다는 건 과한 해석 같음. 과거 로그를 뒤져서 17일 탐색이 있었다는 거지, 그날 알아챘다는 뜻은 아님.

Amazon Linux 패치가 아직 안 나온 게 제일 문제임. 공개 뒤 18시간이나 지나서야 패키지 업데이트가 나왔다는 얘기도 있더라.

이 블로그 글은 자랑하는 느낌이 강해서 민망함. 다들 누가 먼저 봤는지 경쟁하는데 정작 고객 패치는 늦은 게 문제임.

PHP 팀이 Chainguard 탓만 하는 건 책임 회피처럼 보임. 이번 일로 나는 PHP 프로젝트에 안 쓸 생각임.

PHP는 원래 하위 호환성 생각 없이 기능만 붙여온 역사가 길음. 5.3.7 때 crypt() 깨진 릴리스를 테스트도 안 하고 낸 것도 같은 맥락임.