맥 소프트웨어 제작사 아이콘팩토리(Iconfactory)로 잘 알려진 개발자가 자신의 블로그 furbo.org에 긴 투병기를 올렸다. 림프종 치료를 위한 화학요법의 마지막 단계를 병원 침대에서 받으며 쓴 글이다. 척수에 직접 메토트렉세이트를 주입하는 요추천자부터 벤다무스틴·리툭시맙 정맥 주입까지, 1년 넘게 이어진 치료와 회복 과정이 담담하게 담겨 있다. 그런데 이 지극히 개인적인 기록의 후반부가 IT 실무자들 사이에서 회자되는 이유는 따로 있다. 치료 첫 투여를 준비하던 바로 그날 밤, 그가 운영하는 서버가 심각한 보안 위기에 빠졌기 때문이다.
혈액 pH를 기다리며 타임라인을 보다가
메토트렉세이트는 혈액의 pH가 안전한 수준에 도달해야 투여할 수 있어, 저자는 종일 소변 컵에 소변을 받으며 침대에 누워 글을 쓰고 있었다. 밤 10시 30분경 약물이 몸에 들어간 뒤 잠을 청하려던 차에, 소셜 앱 태피스트리(Tapestry)를 넘기다 새로 공개된 PHP 취약점에 관한 게시물을 여럿 발견했다. 아이콘팩토리는 블로그, 광고 서버, 킥스타터 후원 보상 전달 등 여러 서비스에 PHP를 쓰고 있었기에, 이 소식은 곧바로 남의 일이 아니었다. 취약점은 공격자가 서버에 접근할 수 있을 만큼 심각한 것으로 보였고, 그는 "뇌가 멈추기 전에 서버를 멈춰야 한다"고 판단했다.
화학요법 요법에 포함된 스테로이드가 각성 효과를 준 덕에, 그는 몇 시간에 걸쳐 서버 곳곳에서 PHP 프로세스 접근을 차단했다. 그리고 "모든 게 망가졌다"는 설명을 슬랙에 남긴 뒤 쓰러지듯 잠들었다. 다음 날은 머리도 서버도 겨우 돌아가는 상태에서 시작됐다. 서버 OS가 이미 장기 지원(LTS) 기간을 벗어나 있었던 탓에, 가장 먼저 한 일은 병원 와이파이로 최신 우분투 버전으로 올리는 작업이었다. 심박수와 혈압이 면밀히 모니터링되던 병상에서 진행한 업그레이드였다.
아웃오브밴드 관리가 살린 작업
주목할 만한 대목은 그가 리노드(Linode)의 Lish 콘솔을 사용했다는 점이다. 병원 IT가 몇 시간마다 이용 약관 동의를 요구하며 ssh 연결을 끊어버리는 환경에서도, 서버 콘솔에 직접 붙는 아웃오브밴드 접속 경로는 영향을 받지 않았다. 네트워크 경로나 표준 원격 접속이 막혔을 때 별도의 관리 채널을 확보해두는 것이 왜 중요한지를 보여주는 실전 사례다. 지난주 아이콘팩토리 사이트들이 다소 먹통이었다면, 그 배경에는 이런 사정이 있었다.
실무 관점에서 이 기록이 전하는 교훈은 분명하다. 첫째, 운영 체제와 런타임을 지원 기간 안에 유지하는 것은 평소엔 미뤄도 되는 잡무처럼 보이지만, 긴급 패치가 필요한 순간 가장 먼저 발목을 잡는다. LTS를 벗어난 서버는 취약점 대응 자체를 OS 업그레이드부터 시작하게 만든다. 둘째, 즉각적인 완화책의 가치다. 패치를 당장 적용하기 어려운 상황에서 취약한 구성요소의 접근 자체를 차단하는 것은 시간을 벌어주는 유효한 응급 조치다. 셋째, 모든 인프라 지식과 접근 권한이 한 사람에게 몰려 있을 때의 위험이다. 병상에 누운 담당자가 홀로 심야에 대응해야 했다는 사실 자체가, 운영 책임의 분산과 문서화가 왜 필요한지를 역설적으로 드러낸다.
다만 이 글은 공식 보안 보고서가 아니라 개인의 투병기라는 점을 감안해 읽어야 한다. 어떤 CVE인지, 영향을 받은 PHP 버전과 구성이 정확히 무엇인지는 명시되지 않았고, 소규모 자체 운영 환경에서의 일화라는 한계가 있다. 그럼에도 '새 취약점 공지 → 영향 범위 판단 → 긴급 차단 → 근본 패치'로 이어지는 대응의 흐름은 규모와 무관하게 참고할 만하다.
저자는 포트 카테터를 통해 항암제를 투여받아 왔고, 감염 위험 때문에 그토록 좋아하던 수영을 멀리해야 했다고 적었다. 이번 마지막 치료가 끝나면 그 포트를 제거하게 되며, 6주 뒤면 모든 과정이 마무리된다고 한다. 그는 지난해는 갈수록 힘들어졌지만 올해는 달마다 나아지고 있다며, 곁을 지킨 아내에게 감사를 전했다. 그리고 이제는 최신 워드프레스와 PHP로 집 데크의 편안한 의자에 앉아 이 글을 마무리한다고 썼다. 병상에서 시작해 회복의 자리에서 끝맺은, 개발자다운 투병기다.