유럽 정부 사이트 줄줄이 폐쇄…10년 묵은 보안구멍 바로 찾아낸 AI

세계 웹사이트 70%가 쓰는 PHP
오픈AI 모델로 찾았지만 유출돼
美 NSA “패치 못하면 오프라인 전환”
PHP재단 “2년전 징후 알고도 못 고쳐”

인공지능(AI)이 찾아낸 프로그래밍 언어 PHP의 치명적 보안 결함이 전 세계 웹 인프라를 흔들었다. 유럽 각국 정부는 공공 웹사이트를 선제적으로 닫았다. 미국 국가안보국(NSA)은 즉시 패치할 수 없으면 시스템을 오프라인으로 돌리라고 권고했다. AI가 10년 넘게 묻혀 있던 결함을 찾아낸 속도만큼 공격 수단이 만들어지는 속도도 빨라졌다는 점이 드러났다는 분석이 나온다.

AI가 10년 묵은 보안 결함 찾아내

21일(현지시간) 로이터와 블룸버그 등에 따르면 PHP 개발진은 이날 ‘PHP2셸(PHP2Shell)’로 불리는 취약점 두 건을 수정한 긴급 보안 업데이트를 내놨다. 두 결함은 국제 취약점 평가 기준(CVSS 4.0)으로 10점 만점에 9.2점인 ‘치명적’ 등급이다.

로그인이나 인증 없이 외부에서 서버에 임의 코드를 실행할 수 있는 원격 코드 실행(RCE) 취약점이다. 원인은 PHP 엔진의 메모리 부족 처리와 오류 처리 과정에 있는 결함이다. 웹 기술 분석업체 ‘더블유쓰리텍스(W3Techs)’에 따르면 사용 언어가 식별되는 웹사이트의 약 75%가 PHP를 쓴다. 워드프레스와 미디어위키, 드루팔 등 주요 웹 플랫폼도 PHP를 기반으로 돌아간다.

결함을 찾는 데는 AI가 동원됐다. 오픈AI에 따르면 보안 기업 캘리프가 오픈AI의 ‘GPT-5.6 솔(Sol)’ 모델로 치명적 결함을 찾아냈다. 구글 계열 보안 기업 위즈도 두 결함을 독자적으로 발견해 신고했다.

PHP 재단 기록을 보면 캘리프는 7월 30일 PHP 코드 감사에 착수했고, 8월 11일 원격 코드 실행 결함을 보고했다. 같은 날 오픈AI도 동일한 근본 원인을 별도로 보고했다. 위즈는 구글 ‘제미나이4 아르곤’과 GPT-5.6 솔을 함께 썼다고 밝혔다. 전문가가 수개월 걸려야 할 공격 코드 개발을 연구원 한 명이 약 일주일 만에 끝냈다는 설명이다. 오픈AI는 “최근 가장 파급력이 큰 보안 문제 중 하나”라며 “AI의 결함 발견 능력이 공격 도구를 빠르게 만드는 데도 쓰일 수 있다”고 경고했다.

패치 조기 유출에 방어망도 흔들

사태를 키운 것은 공개 과정이었다. PHP 개발진은 당초 22일 패치를 배포할 계획이었다. 그러나 20일 온라인 게시판에 취약점 식별번호와 공개 일정이 유출되자 배포를 하루 앞당겨 21일 오후 2시(세계협정시·한국시간 오후 11시)로 잡았다.

같은 날 밤에는 발견자인 캘리프가 실제 대상에 공격이 통하는 장면을 담은 개념증명(PoC) 영상을 실수로 올렸다가 지웠다. 이미 퍼진 사본이 이튿날 공개 공격 코드 개발을 앞당겼다는 것이 PHP 재단의 설명이다. 이어 21일 오전 7시 41분(세계협정시)에는 보안 기업 체인가드가 공식 배포보다 6시간 넘게 앞서 수정된 PHP 이미지를 공개했다. 체인가드는 다른 배포사처럼 패치를 미리 받은 상태였다. 보안 패치가 먼저 공개되면 공격자는 수정 전후 코드를 비교해 취약점을 역추적할 수 있다. PHP 재단은 체인가드의 조기 공개를 두고 “여러 당사자가 수주간 공동 공개를 위해 해온 작업을 무시했다”고 비판했다. 댄 로렌크 체인가드 최고경영자(CEO)는 여러 보안 업체로부터 실제 공격이 시작됐다는 보고를 받고 조기 배포를 결정했다고 해명했다. 반면 PHP 재단은 당시 작동하는 공개 공격 코드를 확인하지 못했다는 입장이다.

PHP 재단 스스로의 허점도 드러났다. 재단은 두 결함 가운데 하나의 징후를 2024년 외부 보안 감사 대응 과정에서 이미 포착했다고 공개했다. 하지만 수정 방식에 합의하지 못해 작업이 수개월간 멈췄다고 밝혔다. 재단은 이를 “구조적 실패”라고 인정하고, 보안 관련 의사결정을 다수결 방식으로 바꾸고 엔지니어를 충원했다.

유럽 정부 사이트 줄줄이 중단…150만 서버 여전히 위험

파장은 즉각 공공 영역으로 번졌다. 로이터에 따르면 네덜란드에서는 국가사이버보안센터가 자체 웹사이트를 내렸고 로테르담항과 정부 포털, 5대 정당, 일부 병원 사이트도 멈췄다. 핀란드 정부 IT 서비스 기관과 덴마크 지방자치단체 IT 기업도 서비스를 중단했다. 덴마크에서는 전국 학교 소통 플랫폼까지 영향을 받았다. 프랑스 내무부는 도청과 지방 행정 웹사이트를 일시 차단했다. 벨기에와 캐나다 정부도 일부 사이트를 내렸다. 위키피디아 운영기관도 일부 시스템을 중단했고 인터넷 아카이브도 한때 서비스를 멈췄다. NSA는 X를 통해 “즉시 업데이트가 불가능하면 완전히 조치될 때까지 시스템을 오프라인으로 전환할 것을 권고한다”고 밝혔다.

패치가 나온 뒤에도 위험은 남아 있다. 인터넷 분석업체 센시스에 따르면 PHP 구동이 확인된 서버 약 260만대 가운데 약 150만대가 수정판이 제공되지 않는 버전을 쓰고 있다. PHP 8.1 이하 버전은 공식 지원이 끝나 정식 수정판이 없다. 개발진은 7.4~8.1 버전용으로 최소한의 소스 수정 코드만 내놨다. 클라우드플레어는 초기 공격 시도가 나타나 방어 규칙을 계속 갱신하고 있다고 밝혔다.

한국인터넷진흥원(KISA)은 21일 밤에야 보안 업데이트 권고를 냈다. 정부 차원의 공공기관 점검 지시는 22일 오전 현재 확인되지 않았다.

오픈AI는 이날 AI가 찾아낸 취약점을 공동 대응하는 절차를 새로 제안했다. 공개 유예 기간을 얼마나 둘지, 긴급 패치를 어떻게 배포할지에 대해서도 업계 의견을 공개적으로 구했다. [실리콘밸리 원호섭 특파원]

#

클라우드플레어

NET

Cloudflare, Inc. Class A NYSE

클라우드플레어는 PHP의 원격 코드 실행 결함과 관련해 초기 공격 시도를 감지하고 방어 규칙을 갱신하고 있습니다.
웹 인프라 전반에 걸쳐 취약점 확산 우려가 커지면서 보안 트래픽 관리의 중요성이 부각되고 있습니다.
업계에서는 미수정 서버를 노린 위협에 대응하는 각사의 보안 대책과 인프라 방어 능력을 주시하고 있습니다.

알파벳

GOOGL

Alphabet Inc. NASDAQ

취약점 보고 직후 알파벳 계열 위즈는 제미나이4아르곤과 GPT-5.6 솔로 결함을 독자 발견했습니다.
위즈는 구글 계열 보안 기업으로, PHP 엔진의 메모리 오류 처리 결함 신고에 참여했습니다.
업계에서는 AI 기반 탐지가 공격 코드 개발을 앞당길 수 있어 보안 공개 절차를 둘러싼 평가가 엇갈린다고 보고 있습니다.

주의사항 : 본 서비스는 AI의 구조적 한계로 인해 오류가 발생할 수 있습니다. 모든 내용은 투자 권유 또는 주식거래를 목적으로 하지 않습니다.

신고하기

신고 사유 선택

• 잘못된 정보 또는 사실과 다른 내용
• 오해의 소지가 있거나 과장된 분석
• 기사와 종목이 일치하지 않거나 연관성 부족
• 분석 정보가 오래되어 현재 상황과 맞지 않음