클라우드플레어, PHP 런타임 취약점 대응 WAF 방어 기능 배포

보안 완화 조치 발표

클라우드플레어가 PHP 런타임에서 발견된 신규 취약점에 대응해 웹 응용프로그램 방화벽 규칙을 배포하고 전체 트랜잭션 탐지 체계를 적용했다. 이번 조치는 공조 대응 과정에서 공식 공개 약 9시간 전인 2026년 10월 21일 오전 3시 2분 협정 세계시부터 순차적으로 이루어졌다. 무료 및 유료 방화벽 요금제를 사용하는 이용자에게 기본 상태로 방어 규칙이 적용되었다.

해당 취약점은 공식 발표 이전 공격 페이로드가 유출되어 실제 공격 트래픽이 발생한 것으로 확인되었다. 방어 체계를 우회하기 위해 공격 페이로드를 변형하는 시도가 이어지자 클라우드플레어는 규칙 매칭 규모와 탐지 논리를 대조하며 다중 완화 조치를 추가했다.

취약점 발생 배경

전체 웹사이트의 약 70%가 사용하는 PHP는 워드프레스나 마젠토 같은 대형 웹 플랫폼의 기반 기술로 널리 쓰이고 있다. 문제가 된 결함은 응용프로그램의 개별 플러그인이 아니라 런타임 자체의 메모리 관리 결함에서 비롯되었다.

일반적인 환경에서 PHP는 HTTP 요청을 처리할 때 필요한 메모리를 할당한 뒤 처리가 끝나면 이를 회수한다. 그러나 처리 중 메모리 부족 등으로 작업이 비정상 중단되면 메모리를 안전하게 정리하지 못하고 손상된 상태를 참조하는 문제가 발생한다.

결함의 세부 동작 원리

이번에 식별된 두 취약점은 안전하지 않은 메모리에 접근하는 시점과 경로에서 차이를 보인다. 첫 번째 취약점은 메모리 부족으로 처리가 중단되면서 내부 데이터가 제대로 초기화되지 않았음에도, 요청 정리 단계에서 불완전한 데이터를 유효한 값으로 취급해 오류를 일으킨다.

두 번째 취약점은 치명적 오류로 요청이 중단된 뒤 이미 해제된 메모리를 가리키는 참조가 남는 형태다. 같은 PHP 프로세스가 다음 요청을 처리하는 과정에서 유효하지 않은 이전 참조를 추적하게 되어 민감 정보 유출이나 프로세스 비정상 종료를 유발한다.

트랜잭션 분석 탐지 체계

일반적인 요청 기반 규칙만으로는 공격 시도와 정상 요청을 완벽히 구분하기 어려워 오탐 가능성이 존재했다. 클라우드플레어는 단일 HTTP 트랜잭션 내에서 요청 신호와 원본 서버의 응답 신호를 결합 분석하는 전체 트랜잭션 탐지 기능을 도입했다.

새로운 탐지 규칙은 요청뿐만 아니라 원본 서버의 응답 상태를 함께 검증하여 공격 성공 여부를 판별한다. 조건에 부합하는 공격성 응답이 감지되면 해당 응답 데이터가 요청자에게 전달되기 전에 방화벽 단계에서 차단한다.

운영자 권장 조치와 한계

방화벽 보호 규칙은 공격을 완화하는 다층 방어 계층일 뿐 근본적인 해결책이 아니다. 취약점 자체가 런타임에 내재해 있으므로 웹사이트 코드 수정이나 플러그인 업데이트만으로는 문제를 해결할 수 없다.

서버 관리자는 PHP 보안 권고안을 확인해 시스템 소프트웨어를 최신 버전으로 직접 업데이트해야 한다. 불필요한 업로드를 차단하거나 파일 업로드 크기를 제한하는 임시 조치가 노출 위험을 줄일 수는 있으나 런타임 패치를 대체하지는 못한다.