PHP 취약점 대응비를 두고 갈린 유지보수 범위

23일 오전 9시 반 무렵, 공공AX 네트워크에 한 참가자가 메일 한 통 이야기를 꺼냈다. PHP 보안 취약점 때문에 소란인데, 유지보수 업체에서 대응하려면 유료라는 안내가 아침부터 왔다는 것이다. 이 참가자는 관리하는 홈페이지가 많은 단체에서 이 일을 맡게 된 사람이었고, 스스로 전문가가 아니라고 밝혔다. 아침 판에서 다룬 PHP 취약점 소식은 되풀이하지 않고, 이 기사는 그날 오전 새로 나온 쟁점인 대응 비용을 누가 지느냐에 집중한다.

전문가도 아니라서 이게 대응하는게 어려운건지 모르곘네요

질문한 참가자는 곧 한 가지 사정을 덧붙였다. 유지보수까지 포함해서 계약했는데도 업체가 비용을 요구한다는 것이다. 이 말은 질문자 본인의 설명이고, 업체가 실제로 어떤 근거로 비용을 요구했는지는 대화에 나오지 않았다.

유지보수까지 포함해서 한건데도 비용을 요구하는데

계약서와 최초 개발 시점부터

다른 참가자는 계약서를 먼저 보라고 권했다. 이 참가자는 구조 변경 없이 보안 취약점 조치에 따른 버전업이라면 일반적인 유지관리 사업 범위일 것 같다고 했다. 이어 영향도가 얼마나 크고 최초 개발 사업이 언제 있었는지에 따라 달라질 수 있다고 덧붙였다. 단정이 아니라 조건을 단 의견이다.

아키텍처가 바뀌는게 아니고 단순 보안 취약점 조치에따른 버전업이라면 .. 일반적인 유지관리 사업범위 내일 것 같은데

영향도가 얼마나 크고 최초 개발 사업이 언제 발생했냐에 따라 달라질 것 같으네요

이 참가자는 뒤에도 일단 계약서부터 보라고 한 번 더 말했다. 질문자는 확인해 보겠다고 답했다.

구버전이면 이야기가 달라진다

오전 10시 25분쯤 또 다른 참가자가 반대편 가능성을 짚었다. PHP가 구버전이면 버전을 올릴 때 기능에 문제가 생기고, 업체는 그것을 기능 개발로 보고 돈을 요구할 것 같다는 추측이었다. 이어 다른 개발자 참가자는 그냥 올려서 해결될 수도, 아닐 수도 있는 사례별 문제라고 정리했다.

Php구버전이면 버전업하면 기능상문제생겨서 기능개발로 보고 돈달라할것같은데

그냥 업그레이드해서 해결될수도 있고 아닐 수도 있고 그렇죠

공무원으로 소개된 또 다른 참가자는 방치의 문제라고 보았다. PHP 8이 나온 지 5 ~ 6년 된 것 같은데 아직 PHP 7 이하를 쓴다면 그동안 리뉴얼도 버전업도 하지 않은 것이라는 설명이다. 같은 참가자는 이번 문제가 PHP 8 이하에서 났다고도 적었는데, 이 기술 설명은 대화 안에서 확인되지 않았다.

php8이 나온지가 벌써 5 ~ 6년 된 것 같은데...아직도 php7 이하를 쓴다는 건 그동안 리뉴얼도 안하고 버전업도 안했다는 뜻.. 그냥 방치하고 있었던 거죠

비용이 누구에게도 미리 잡혀 있지 않다

방치라는 진단 뒤에는 왜 방치되는지에 대한 이야기가 따랐다. 앞서 구버전 기능 문제를 짚었던 참가자는 유지보수 업체도 버전을 올리면 돈이 드니 담당자가 하지 않는다고 했다. 같은 참가자는 뒤쪽에서 대표 홈페이지가 아니고 금액이 작은 곳은 업체의 질도 함께 떨어지는 경우가 많다는 경험도 얹었다.

유지보수업체에서도 버전업하면 돈드니까 담당자는 안하고

대표홈페이지아닌경우 금액얼마안되는곳은 유지보수업체 질도 같이 떨어지는 경우가 많더라구요

방치를 지적했던 공무원 참가자는 예산 쪽 사정을 털어놓았다. 전산 부서에 운영유지의 중요성을 늘 이야기하지만 예산을 따기 어렵고, 예산을 따도 담당자가 품을 들여야 업체가 일을 한다는 이야기였다. 이는 그 참가자가 겪은 일이지 공공 전반의 통계가 아니다.

쉽지가 않아요. 예산 따기도 어렵고 ㅎ

어쩌다 예산을 따도 운영유지도 담당자가 품을 드려야 업체가 일을 하더라고요

앞서 오전 9시 55분쯤 사기업 소속으로 소개된 한 참가자는 이번 건이 거래처라면 양심상 패치를 해 줄 만한 것이라고 했다. 다만 아주 구버전이면 어쩔 수 없다고 단서를 달았다.

이건 거래처라면 양심상 패치 해줄만 한건데

무엇이 쟁점으로 남았나

이 대화에서 합의된 결론은 없었다. 같은 조치를 유지관리로 볼지 기능 개발로 볼지는 계약 문구, 현재 쓰는 버전, 최초 개발 시점에 따라 달라진다는 것이 참가자들이 공통으로 가리킨 방향이다. 질문자는 논의 도중 운영 중인 사이트를 조사해 보는 중인데 PHP로 된 곳은 다행히 많지 않은 것 같다고 적었다.

여기서 해석을 하나 얹으면, 취약점이 알려진 순간 비로소 유지보수 범위가 시험대에 올랐다는 점이다. 평소 계약서의 문구는 관리 대상 홈페이지가 많고 담당자가 전문가가 아닌 조직에서는 잘 들여다보지 않는 대상일 수 있다. 다만 이는 몇 명의 경험과 추측을 바탕으로 한 읽기이며, 업체나 공공 발주 관행을 일반화한 결론은 아니다.