전 세계 웹 70%가 쓰는 PHP, 치명적 위협 발견?

PHP, AI가 심각한 취약점 찾아내다

🚨 위험도 9.2점, 치명적 등급: PHP 개발진이 지난 21일(현지 시각) 로그인 없이 서버를 장악할 수 있는 치명적 결함 두 건을 고친 긴급 패치를 내놨습니다. 공격자가 아이디나 비밀번호 없이 특수하게 조작한 요청을 보내면 서버에서 원하는 명령을 실행할 수 있는 결함인데요. 두 건 모두 위험도가 10점 만점에 9.2점으로 가장 높은 ‘치명적’ 등급입니다. 공격이 성공하면 서버에 원격조종 파일인 웹셸이 설치되고 고객 정보가 유출되거나 홈페이지가 변조·마비될 수 있다는 점에서 위험도가 굉장히 높죠.

🌐 웹사이트 10곳 중 7곳이 PHP 쓴다는데: PHP는 웹사이트 서버가 로그인이나 게시글 작성, 상품 결제 요청을 처리하도록 만드는 프로그래밍 언어입니다. 서버 측 프로그래밍 언어가 확인된 웹사이트의 약 70%가 PHP를 쓰고, 전체 웹사이트의 43%가 쓰는 워드프레스와 위키백과도 PHP 기반인데요. 국내에서도 그누보드로 만든 게시판과 중소 쇼핑몰, 일부 공공기관·학교 홈페이지가 여기 해당합니다. 이번 결함은 PHP 자체에 있어 홈페이지를 안전하게 개발했어도 영향을 받죠.

🤖 AI가 찾아 8월에 신고: 이번 결함을 찾아낸 것은 AI라는 점에서도 화제가 됐습니다. 미국 보안업체 캘리프가 7월 30일 PHP 코드 감사에 들어가 오픈AI의 GPT-5.6 솔로 분석한 끝에 8월 11일 PHP 재단에 신고한 것이 발단이었는데요. 같은 날 오픈AI 보안팀도 같은 원인의 결함을 따로 보고했고, 이에 PHP 재단은 두 달여 검증을 거쳐 지난 21일 수정 버전을 공개했죠. 원래는 22일 보안 패치를 공개할 계획이었지만, 지난 20일 관련 정보가 유출되며 일정을 하루 앞당기게 됐습니다.

PHP 사태, 전 세계가 비상

🇰🇷 한국, 사이버위기 경보 강화: 우리 정부는 22일 정오를 기해 민간 분야 사이버위기 경보를 관심에서 주의로 올렸습니다. 침해사고 대응 인력을 늘리고 비상출동조를 상시 대기시켰는데요. 정보보호 최고책임자 신고 기업 약 2만 8,000곳에도 보안 조치를 긴급 전파했습니다. 배경훈 부총리는 공격 코드까지 공개됐다는 점에서 시급하게 대처해야 하는 문제라며, 수일 내 패치하는 통상적인 대응으로는 막기 어렵다는 점도 언급했는데요. 호스팅 업체 카페24와 가비아는 지원이 끝난 구버전까지 손봤고, 티오리와 스틸리언은 대응 가이드와 무료 점검 서비스를 내놓는 등 국내 여기저기서 대책 마련에 나서는 상황이죠.

🧱 수정판 없는 115만 대: 한편, 패치가 나왔어도 그걸 받을 수 없는 서버가 많다는 점도 문제입니다. 수정 버전이 나온 것은 PHP 8.2에서 8.5까지이고, 그 아래 버전은 공식 보안 지원이 끝나 정식 수정판이 나오지 않는데요. 켄시스 조사로는 버전이 확인된 PHP 서버 157만 7,000대 중 115만 대가 여기 해당합니다. 국내에서도 취약한 버전이 깔린 서버가 약 11만 대로 세계에서 여섯 번째로 많다는 안랩 추정이 나왔는데요. 버전을 올리면 기존 코드나 플러그인이 제대로 돌지 않아 손댈 일이 많다는 점도 걸림돌입니다.

🔌 문 닫아 버린 사이트: 아예 서비스를 멈춰 세운 곳도 잇따랐습니다. 네덜란드는 정부 포털과 하원, 축구협회와 주요 병원 사이트를 세웠고 핀란드 정부도 대외 웹서비스를 예방 차원에서 닫았는데요. 국내에서는 디시인사이드가 지난 21일 밤부터 이미지와 동영상 업로드를 막은 것이 대표적 사례입니다.

🇯🇵 일본은 총리 사이트까지: 일본에서는 정부와 금융·철도 서비스의 운영 차질이 잇따랐습니다. 다카이치 사나에 총리의 공식 사이트가 접속을 멈췄다 재개했고, 재무성과 국토교통성·국세청 홈페이지, 가나가와현 경찰의 운전면허 갱신 예약 사이트까지 줄줄이 멈춰섰는데요. 미쓰비시UFJ은행의 투자신탁 계좌 개설과 다이와증권의 계좌 개설이 중단됐고, JR 서일본은 그룹 내 약 60개 사이트를 닫아 열차 운행 정보 조회가 막혔습니다. 일본어 사이트의 절반가량이 PHP 기반인 워드프레스로 만들어져 의존도가 세계 평균보다 높은 탓에 상황이 한층 심각한 모양새죠.

AI, 보안 판도도 뒤흔든다

🧭 AI가 바꾼 보안의 판: 이번 사태는 AI가 보안 위협의 판도를 어떻게 바꾸는지 보여준 사례로 꼽힙니다. 문제의 결함은 10년 넘게 PHP 코드에 남아 있었는데, 여러 오류를 엮고 서버 환경에 맞춰 공격 방법을 조정해야 해 악용 가능성을 입증하기 어려웠습니다. 위즈는 AI를 쓴 연구자 한 명이 과거라면 연구팀이 몇 달 걸렸을 작업을 일주일 만에 마쳤다며, 한때 악용하기 어렵다고 본 취약점도 실제 표적이 될 수 있다고 평가했는데요. 아미 루트와크 위즈 공동창업자는 AI로 발견한 취약점 가운데 가장 심각하다고 언급하는 등 이번 사태의 중요도를 강조하기도 했습니다.

🛡 공격 코드는 하루 만에:패치가 나오기 전부터 공격시도가 관측되기도 했습니다. 안랩이 깃허브에서 이번 취약점을 검색해 나온 상위 100개 저장소를 조사한 결과 99개가 이번 취약점과 관련돼 있었고 대부분 하루 만에 만들어졌으며, 36개는 실제 해킹이 되는지 시험하는 용도였는데요. 클라우드플레어도 공식 공개 전부터 고객을 겨냥한 공격 트래픽을 보고 방어 규칙을 배포했고, 아마존은 자체 탐지 시스템으로 공격 시도를 포착했습니다. AI가 결함을 찾는 속도가 빨라지는 만큼, 공격 도구가 만들어지는 속도도 빨라졌다는 점에서 경고의 목소리도 들리죠.

📈 장 초반 반짝한 보안주: 한편, 보안주도 움직였습니다. 도쿄 증시에서는 트렌드마이크로가 7%, FFRI시큐리티가 15% 넘게 오르며 사이버보안주가 급등했는데요. 국내에서도 22일 오전 9시 40분 기준 라온시큐어가 약 9.0% 오른 1만 9,540원, 샌즈랩이 5.9%, 안랩이 3.3% 뛰었습니다. 다만 코스닥이 3.62% 급락하면서 라온시큐어는 3.18% 내린 1만 7,350원으로 마감해 상승분을 지키지는 못했습니다.