클라우드플레어, PHP 취약점 WAF 시험 공개…패치는 별도

클라우드플레어가 10월 27일 PHP 취약점을 대상으로 자사 웹 방화벽(WAF)의 보호를 시험하는 한시적 보안 챌린지를 발표했다. 지정된 시험 환경에서 원격 코드 실행과 플래그 회수에 성공했는지 확인하는 방식이다. 참여와 신고는 해커원 버그바운티 프로그램으로 연결된다. 이번 발표는 시험 참여 조건에 관한 것으로, 제공된 자료에는 우회 성공 실적이나 독립적인 성능 검증 결과가 담겨 있지 않다.

국내 PHP 서비스 운영자가 함께 볼 대목은 보호 장치의 역할과 한계다. 회사는 응답 전달을 막더라도 원본 서버에서 이미 수행된 작업까지 되돌릴 수는 없다고 설명했다. 이에 따라 WAF를 소프트웨어 수정의 대체 수단으로 제시하지 않았으며, PHP 보안 권고에 따른 갱신을 안내했다. 챌린지의 존재를 개별 서비스의 안전성을 보장하는 근거로 해석해서는 안 된다.

회사 설명에 따르면 시험 환경은 PHP 8.5.11과 표준 확장, 아파치 2의 mod_php, 자사 컨테이너 서비스로 구성된다. CVE-2026-109618과 CVE-2026-109619에 대응하는 기본 WAF 규칙을 적용했다. 샌드박스와 플래그 파일은 몇 분마다 초기화된다. 이 구성은 공개된 시험 조건이며, 모든 PHP 설치 환경이 같은 영향을 받는다는 의미는 아니다.

보상 심사에는 샌드박스 내부의 원격 코드 실행, 현재 플래그 회수, 화면에서의 검증, 비공개 해커원 신고가 요구된다. 화면에서 플래그를 검증하는 것만으로 신고가 접수되거나 우선순위가 정해지지는 않는다. 회사는 재현에 필요한 요청 자료와 실행 과정, 검증 결과도 함께 제출하도록 했다. 같은 방법의 표현이나 인코딩만 바꾼 제출은 별개 성과로 인정하지 않으며, 중복 여부와 보상은 회사가 최종 판단한다.

시험 허용 범위도 제한적이다. 회사가 지정한 챌린지 호스트에서 WAF 보호를 받는 /php/* 경로에 보내는 POST 요청이 대상이다. 다른 서비스나 기반 인프라에 직접 접근하는 행위는 제외되며, 서비스 거부와 대량 스캔도 금지된다. 회사는 챌린지를 중단하거나 종료할 수 있다고 밝혔다. 10월 28일 실제 참여 가능 여부는 제공된 본문만으로 확인되지 않아 해커원 프로그램 페이지에서 확인해야 한다.

재현 자료의 중요성을 보여주는 별도 배경으로, 깃허브는 10월 22일 버그바운티 연구자 인터뷰를 게시했다. 깃허브 팀은 검증, 작동하는 개념증명, 실제 보안 영향을 연구 결과의 평가 기준으로 제시했다. 다만 이 자료는 다른 프로그램에 관한 설명으로, 클라우드플레어 챌린지의 결과나 WAF 효과를 확인하는 근거는 아니다.