진짜인지는 중요치 않다
어제(2026-10-21) 아침 9시 30분쯤인가? 문득 X(트위터)를 켰는데 수상쩍은 트윗이 보이더군요.
CVE-2026-109618 / CVE-2026-109619 의 PoC (Proof of Concept)에 성공했다는 누군가의 게시글.
그리고 씨발 이게 진짜인지는 몰라도 어젯밤은 그야말로 지옥도였습니다 ㅡㅡ
PHP 모든 버전에 해당하는 critical한 취약점이라서, 패치 적용 전까지 서버를 닫는 게 맞다고 할 정도니까요.
일단 cloudflare의 WAF 룰에 해당 공격 패턴을 적용시켜두었다는 발표가 있어 저도 부랴부랴 적용했어요.
부랴부랴가 정적페이지 설정해놓고 3시간 잠든 뒤 일어나 출근 전에 설정해둔다를 의미한다면야
synology 패치는 상당한 시간이 소요되기 때문에, NAS도 외부 접근을 막아둔 상태입니다.
직업 윤리란
와중에 이번 이슈를 촉발한 사람은 “사회적 계약이 알 바냐“라는 스탠스를 보여서 웃음이 나오더군요.
알 바지, 씨발놈아! 조용히 패치하고 넘어갈 수 있는 걸 굳이 까발려서 공격자를 늘려놨잖아!!
물론 무조건적인 비밀이 강력한 보안을 뜻하지는 않지만, 충분히 대응할 시간을 주지 않았잖아요.
창이 더 유리한 싸움에서 방패를 보강할 수 있게라도 해줘야지, 그냥 찔러버렸잖아요!
전세계적인 이목을 끌었다는 점에서는 분명 긍정적인 점도 있기야 하지만…운영자들에겐…ㅋㅋㅋ…
취약점이 존재하는 PHP를 베이스로 만들어진 솔루션들은 단체 비상 상태입니다.
특히, PHP 7.x 등 구버전을 사용하는 경우라면 동작이 망가질 걸 각오하면서 업데이트해야 하고요.
…아무튼, 굉장히 즐거운 새벽 시간이었습니다.
