AI가 찾아낸 역대급 취약점···PHP 보안 비상에 유럽 정부도 사이트 폐쇄

21일(현지시간) 스위스 제네바에서 유럽 컴퓨터 비상 대응팀(CERT-EU)의 요청에 따라 제네바 대학교 웹사이트가 접속 불가 상태가 됐다. EPA연합뉴스

전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어 ‘PHP’에서 치명적인 보안 취약점이 발견돼 각국 기업과 정부 기관에 비상이 걸렸다. 10년 넘게 확인되지 않았던 결함을 인공지능(AI)이 찾아낸 것으로 알려진 가운데, 해커들이 이를 악용한 공격에 나설 수 있다는 우려도 커지고 있다. 실제 패치 배포 전부터 일부 공격 시도가 보고되면서 유럽 일부 정부 기관은 웹사이트 운영을 중단했다.

21일(현지시간) 월스트리트저널(WSJ)과 로이터통신 등에 따르면 PHP 개발진은 이날 치명적인 보안 취약점 두 건을 수정한 새 버전을 긴급 공개했다. 이번 결함을 악용하면 해커가 별도의 로그인이나 인증 절차 없이 원격에서 임의의 코드를 실행하거나 시스템을 장악할 수 있는 것으로 알려졌다.

문제의 파급력이 큰 것은 PHP가 인터넷 전반에 광범위하게 쓰이는 기술이기 때문이다. 웹 기술 분석업체 W3Techs에 따르면 사용 언어를 식별할 수 있는 웹사이트의 약 75%가 PHP를 사용한다. 전체 웹사이트의 약 43%에서 사용하는 웹사이트 제작·관리 시스템 워드프레스 역시 PHP를 기반으로 작동한다.

이번 취약점 발견 과정에서 AI가 핵심적인 역할을 한 것으로 알려지면서 사이버 보안의 판도에도 관심이 쏠리고 있다. 사이버보안업체 캘리프는 오픈AI의 모델 ‘GPT-5.6 솔(Sol)’을 활용해 취약점을 찾아냈다. 구글 계열 보안업체 위즈도 독자적으로 두 건의 취약점을 발견해 신고했다.

문제의 결함은 수년간 PHP 코드에 존재해 왔고 과거에도 잠재적인 문제로 지적됐지만, 실제 공격에 악용하기는 어려운 것으로 여겨졌다. 위즈의 공동창업자인 아미 루트와크는 이번 결함을 두고 “AI가 발견한 보안 취약점 가운데 역대 가장 심각하다”며 “AI가 없었다면 발견하기에 지나치게 복잡했을 것”이라고 평가했다. 오픈AI도 성명을 통해 “이번 결함의 심각성과 PHP의 광범위한 사용을 고려할 때 최근 들어 가장 파급력이 큰 보안 취약점 중 하나로 평가한다”고 밝혔다.

PHP 개발진은 애초 22일 보안 패치를 공개할 계획이었지만, 지난 20일 온라인 게시판에 관련 정보가 유출되면서 배포 일정을 하루 앞당겼다.

그러나 패치 공개만으로 위협이 해소된 것은 아니다. 보안업체 클라우드플레어의 데인 크네히트 최고기술책임자(CTO)는 초기 공격 시도가 나타나고 있다며 “새로운 공격 경로가 발견될 때마다 대응 조치를 업데이트하고 있다”고 밝혔다.

네덜란드와 핀란드 등 일부 유럽 국가의 정부 기관들은 예방 차원에서 웹사이트 운영을 중단했다. 유럽과 일본, 호주 등의 사이버보안 당국도 관련 시스템을 점검하고 보안 업데이트를 적용하라고 권고했다.