"CVSS 9.2 터졌는데 패치는 감감무소식?" AWS 리눅스 지원에 뿔난 개발자들

요약 PHP에서 원격 코드 실행(RCE)이 가능한 심각도 점수 9.2(CVSS v4.0) 수준의 치명적인 제로데이 보안 취약점 2종(CVE-2026-109618, CVE-2026-109619)이 공개되면서 개발자 커뮤니티가 발칵 뒤집혔습니다. 공식 패치가 즉각 배포되었으나, AWS(Amazon Web Services)의 Amazon Linux 2023(AL2023) 배포판에서는 해당 보안 패치 적용 일정이 불투명해 이용자들의 원성이 쏟아지고 있습니다. GitHub 이슈 저장소에는 취약점 보고 직후 긴급 업데이트를 요구하는 수많은 글로벌 엔지니어들의 댓글이 빗발쳤습니다. 특히 사전 노티를 받았을 대기업 클라우드 제공업체가 공식 보안 패치가 뜬 이후에도 패키지 관리자(dnf) 배포 예상 시간조차 밝히지 못하고 있는 점이 도마 위에 올랐습니다. 일부 유료 엔터프라이즈 지원 고객이 문의한 결과에서도 "구체적인 출시 예정일(ETA)은 없으며, 실제 공격 시나리오가 좁고 악용하기 어렵다"는 식의 미온적인 답변이 돌아왔다는 사실이 전해지며 논란이 커졌습니다. 패치가 최대 수십 일 가까이 지연될 수 있다는 우려 속에 개발자 커뮤니티에서는 AWS의 안일한 보안 대응에 불만을 토로하고 있습니다.