요약

  • Woodman은 Erlang·Elixir·Gleam 생태계의 CVE가 2026년 500건을 넘을 수 있다고 전망했다. 지난해 약 10건과 비교하면 RIPE 93 발표 자료가 밝힌 증가율은 50배 이상이다.
  • 이제 부담은 발견보다 분류와 수정에 있다. Woodman은 프로젝트별 일괄 대응을 시험하며, 해당 소프트웨어를 쓰는 기업에 CNA 운영비를 함께 부담하라고 요청했다.

스캐너가 문제를 찾아도 패치가 저절로 나오지는 않는다. 누군가는 취약점을 재현하고, 코드를 고치고, 테스트한 뒤 배포해야 한다. Alistair Woodman은 RIPE 93 보안 세션에서 이 발견 이후의 작업이 새로운 병목이라고 설명했다.

그가 제시한 수치는 지난해 약 10건, 올해 말에는 500건을 넘을 수 있다는 전망이다. RIPE의 발표 페이지는 CVE 처리량이 50배 넘게 늘었다고 적었다. Woodman은 과거부터 존재했지만 찾지 못했던 문제들이 이제 드러난다고 말했다. 이 숫자는 CVE 기록의 증가이지, 새로 생긴 취약점이나 배포된 수정본의 수가 아니다.

Woodman에 따르면 EEF CNA에는 다섯 명의 주요 책임자가 있다. 명단의 다른 네 명은 커뮤니티 구성원이라고 설명했고, 가상 머신 핵심부를 활발히 유지하는 Ericsson 인력은 약 15명이라고 추산했다. CVE 처리와 AI 활용 조사의 대부분은 두 사람이 맡는다. CNA가 공개 절차를 조정해도 각 패키지의 코드는 별도 유지관리자가 고쳐야 한다.

EEF가 시험하는 방법은 같은 프로젝트의 발견 사항을 모아 한 번에 처리하는 것이다. 유지관리자가 매번 다른 보고를 받느라 하루를 쪼개지 않도록 시간을 예약하자는 구상이다. Woodman은 실험 단계라고 했으며, 이 방식이 실제 수정 시간을 줄였다는 비교 자료는 제시하지 않았다.

EEF의 공개 정책은 보고를 이틀 안에 접수 확인하고 평가하도록 정한다. 이미 공개된 취약점은 24시간 안에 또는 그보다 빨리 공지한다. 이 기한을 지키는 조정자와 실제 코드를 고치는 사람은 다른 역할이므로 업무량 증가가 곧바로 해결 속도 향상으로 이어지지는 않는다.

Woodman은 생태계에 약 2만 개 패키지, 정기적으로 언어를 쓰는 약 10만 명, 파악된 기업 이용자 최소 5천 곳이 있다고 추산했다. 발표를 마치며 그는 소프트웨어를 사용하면서 후원 명단에는 없는 기업도 재정 지원에 나서 달라고 했다. EEF는 후원금과 자원봉사 조정자를 지원 방법으로 제시한다.

출처