10년 묵은 PHP 결함, AI가 끝내 찾아냈다 (feat.노말틱)
원본 영상: 10년 묵은 PHP 결함, AI가 끝내 찾아냈다 (feat.노말틱)
채널: 안될과학 Unrealscience
오래된 결함이 실제 공격으로 이어지기까지
코드에 문제가 있다는 사실을 아는 것과, 그 문제를 이용해 실제로 공격할 수 있음을 증명하는 것은 별개의 일이다. 영상은 오랫동안 남아 있던 PHP 결함과 AI를 활용한 연구를 통해 이 간극을 짚는다.
진행자는 문제의 코드가 10년 넘게 존재했으며, 로그인 없이 서버를 장악할 수 있는 결함이라고 소개한다. 노말틱은 관련 메모리 처리 문제가 과거에도 지적됐다는 점과, 이를 실제 공격으로 연결하는 데 필요한 시간에 주목한다.
이 이야기에서 AI의 역할은 연구자의 기존 지식과 연결된다. 이미 알고 있던 문제를 바탕으로 공격 가능성을 입증하는 시간을 줄였다는 것이다. 영상은 이러한 변화가 취약점을 찾는 쪽과 대응하는 쪽 모두에 어떤 의미를 갖는지 살펴본다.
여러 웹사이트를 실행하는 PHP 엔진의 문제
진행자는 PHP의 사용 비중을 약 70%로 소개하며 널리 쓰이는 기술이라는 점을 강조한다. 이어 노말틱은 이번 문제가 웹사이트를 작동시키는 PHP 엔진 자체의 취약점이라고 설명한다.
개별 사이트의 코드에 생긴 결함과 여러 사이트가 사용하는 실행 기반의 결함은 대응 범위가 다르다. 영상에서 PHP의 보급 범위와 엔진의 문제가 함께 언급되는 이유다. 로그인 없이 서버를 장악할 수 있다는 설명은 이 결함의 위험성을 드러낸다.
메모리 처리 문제는 왜 반복됐나
노말틱은 이번 문제의 배경을 2004년에 제기된 PHP의 메모리 한도 관련 문제까지 거슬러 올라가 설명한다. 이후에도 2020년과 2024년에 관련 지적이 이어졌다고 말한다. 제목에서 강조하는 ‘10년’보다 더 오래된 문제의 배경을 함께 다루는 셈이다.
설명의 중심에는 메모리 부족 상태인 OOM과, 그 이후 작동하는 ‘Bailout’이라는 처리 기능이 있다. 노말틱은 메모리 부족이 발생하는 경로를 막는 대응과, 그 상황을 처리하는 방식 자체를 고치는 일의 차이를 짚는다.
에어백의 구멍과 운전 교육
이 차이를 설명하는 비유가 영상 첫머리에도 등장한다. 에어백에 구멍이 났다면 구멍을 메우는 것이 중요하다. 그런데 정비소에서 수리 대신 사고를 피하도록 운전 교육만 받았다면, 사고가 나지 않는 동안에는 결함이 드러나지 않을 수 있다. 그렇다고 구멍이 사라진 것은 아니다.
12:43 - 취약점 공개 일정 변경에 대한 설명
노말틱은 이 비유로 특정 상황을 피하는 조치가 근본적인 결함까지 해결하지는 못할 수 있음을 설명한다. 관련 문제가 여러 차례 지적됐다는 이야기와 연결되는 대목이다.
AI가 줄인 입증의 시간
영상에서는 2024년에도 실제 공격을 증명하지 못했던 문제가 언급된다. 문제를 지적하는 단계에서 작동하는 공격을 보여주는 단계로 넘어가는 일이 쉽지 않았다는 맥락이다.
노말틱은 이번 연구에서 연구자가 이미 알고 있던 내용을 바탕으로 AI를 활용했다는 점을 강조한다. AI의 기여를 연구자의 지식과 분리하기보다, 그 지식을 실제 결과로 연결하는 시간을 줄인 것으로 설명한다.
이 관점에서 중요한 것은 AI가 무엇을 했는지만이 아니다. 연구자가 어떤 문제를 알고 있었고, 무엇을 입증하려 했는지도 함께 봐야 한다. 영상은 오래된 문제의 공격 가능성을 확인하는 과정에서 AI가 연구 시간을 단축했다는 데 의미를 둔다.
빨라지는 공격에 대응하려면
영상 말미에서 출연진은 AI로 취약점을 찾아내는 속도가 빨라지는 만큼, 공개된 취약점이 실제 공격으로 이어지는 시간도 짧아지고 있다고 말한다. 발견 속도의 변화가 대응에 주어진 시간의 변화로 이어진다는 문제의식이다.
운영 환경을 파악하는 일도 이 맥락에서 등장한다. 대화에서는 “우리가 쓰고 있는 것이 PHP인가?”라는 질문이 나온다. 자신의 사이트가 어떤 기술로 작동하는지 모르는 상황에서는 취약점의 영향을 알아차리기부터 어려울 수 있다는 우려다.
영상이 짚는 핵심은 오래된 코드의 위험, 이를 입증하는 데 필요한 전문성과 시간, 그리고 빨라지는 공격에 대응할 준비다. AI가 연구를 돕는 속도가 빨라질수록, 운영하는 서비스의 기반 기술을 파악하고 관련 문제에 대응하는 일의 중요성도 커진다는 메시지로 이어진다.
출처
안될과학 Unrealscience — 10년 묵은 PHP 결함, AI가 끝내 찾아냈다 (feat.노말틱)