PHP 취약점, 공개 PoC는 바닐라 서버에서 동작하지 않아 악용이 어렵다는 주장

이런 글 많이 봤는데 다 시간 지나고 보면 틀렸더라. 쉬운지는 상관없음. 누가 한 번 익스플로잇 만들면 다들 그 결과물을 재사용하잖아. 아이폰 뚫는 것도 어렵지만 정부는 그냥 가져다 쓰는 무기가 있음.

공개 타임라인 문제라는 얘기도 있음. 엠바고 기간에 익스플로잇이 실제로 얼마나 돌았는지를 두고 말이 갈림. 그래도 패치 자체가 필요 없다는 사람은 없더라.

결국 패치를 얼마나 급하게 해야 하는지 사람들이 잘 못 가늠하는 것 같음.

시간이 핵심임. 익스플로잇 코드 짜는 데 일주일 걸리면 중요한 서비스는 업데이트할 시간이라도 생기는 거지.

나는 12시간 동안 아무도 상황을 모르던 게 더 문제였다고 봄. 코어 쪽은 php.ini 바꿔도 소용없다고 하고, Cloudflare CTO는 공격 트래픽 보인다고 트윗하고. 다들 서버 내리기 시작했음.

패치 전에 실제로 익스플로잇이 돌았다는 증거 있음? 로그에 시도가 보였다는 말은 많은데 뚫렸다는 얘기는 못 봤음.

GitHub PoC 두 개 돌려봤는데 하나는 LFI가 이미 있어야 했고, 다른 하나는 수정 없이는 안 돌더라. 두 번째는 stale write 버그는 잡혔는데 RCE는 안 나왔음.

22년 동안 있던 버그인데 아무도 제대로 악용 못 했다는 건 그만큼 쓰기 어렵다는 뜻 아님?

PHP 런타임에 메모리 깨짐 버그가 처음은 아닐 텐데, 왜 이번만 올해 최악 취약점이라고 난리냐는 의문도 있음. 근데 영향 범위가 PHP 전 버전에 걸쳐 있어서 파급력이 크다는 반론이 더 설득력 있음.