PHP의 보안 패치 뒤에 남은 문제, 늘어난 코드를 누가 검토할까
PHP 재단은 상근 1명과 주로 시간제로 일하는 계약자 14명이라는 운영 구조를 설명했습니다. AI의 코드 생산량과 유지관리 역량을 나눠 봅니다.
PHP의 보안 업데이트는 취약한 코드를 고치는 문제와 함께 그 코드를 누가 계속 살필 것인지라는 질문을 드러냈습니다. PHP Foundation의 엘리자베스 배런 사무총장은 10월 23일 로이터 인터뷰에서 재단의 상근 직원이 자신 한 명이며 주로 시간제로 일하는 계약자 14명과 자원봉사 이사회가 함께한다고 설명했습니다.
이 숫자는 재단의 운영 인력에 관한 설명입니다. 전 세계 PHP 개발자나 보안에 기여하는 모든 사람을 합친 규모가 아닙니다. 재단은 외부 연구자와 기업의 협력도 언급했습니다. 오픈소스의 참여 범위와 상시로 일을 조율하고 책임지는 인력은 구분할 필요가 있습니다.
PHP 개발팀은 10월 21일 PHP 8.4.27을 보안 릴리스로 공지했습니다. 공식 안내는 인증 없는 원격 코드 실행을 허용할 수 있는 두 취약점의 수정과 8.4 사용자에 대한 업그레이드 권고를 담았습니다. 이것이 모든 PHP 서비스에서 실제 침해가 확인됐다는 뜻은 아닙니다.
배런은 AI가 오래된 결함을 찾고 개발 효율을 높이는 데 도움을 주면서도 검토 부담을 늘린다고 설명했습니다. 프로젝트에 들어오는 코드 변경 제안은 1년 전의 거의 두 배인데 기여자 수는 같은 폭으로 늘지 않았다는 것입니다. 이 수치도 인터뷰 당사자의 설명이며 별도의 독립 저장소 분석 결과는 아닙니다.
코드를 빠르게 만드는 도구가 있어도 변경의 타당성과 회귀 문제, 다양한 환경의 호환성을 판단하는 일은 남습니다. 제안 수의 증가를 곧바로 안정적인 배포의 증가로 계산할 수 없는 이유입니다. 기업이 의존하는 공용 소프트웨어를 장기간 유지할 재원과 숙련자의 시간이 함께 필요합니다.
이번 기사는 이미 공개된 취약점 대응에서 인력과 검토 역량이라는 별도 쟁점을 살펴봤습니다. 공식 릴리스와 실제 인터뷰를 대조했으며 전 세계 피해 규모나 패치된 시스템의 안전을 직접 시험하지 않았습니다. 앞으로는 자동화로 늘어난 제안을 얼마나 빠르고 정확하게 검토하는지, 지속 가능한 지원이 생기는지가 과제로 남습니다.