전 세계 웹사이트 ‘해킹 비상’…PHP 치명적 보안 결함

전 세계 웹사이트의 75%가 사용하는 프로그래밍 언어에서 치명적인 보안 취약점이 발견돼 각국 기업과 기관들에 비상이 걸렸다. 이번 보안 결함을 찾아내는 데 인공지능(AI)이 결정적인 역할을 한 것으로 알려졌다. 이는 해커들이 AI를 활용해 대규모 공격에 나설 수 있다는 뜻으로, 실제로 운영체제에 대한 일부 공격이 확인됐다. ▶관련기사 2·3면 월스트리트저널(WSJ)과 로이터 통신 등은 21일(현지시간) 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 ‘PHP’ 개발진이 이날 두 건의 치명적인 보안 취약점을 수정한 새 버전을 긴급 공개했다고 보도했다. 보도에 따르면 이번 취약점은 해커가 별도의 로그인이나 인증 절차 없이 외부에서 임의로 코드를 실행하거나 시스템을 장악할 수 있는 결함이다.

PHP는 전 세계 웹사이트의 75%가 사용할 정도로, 널리 쓰이는 프로그래밍 언어여서 이번 보안취약 사태의 충격이 더 컸다. 전체 웹사이트의 약 43%가 사용하는 웹사이트 제작·관리 시스템 워드프레스도 PHP를 기반으로 작동한다.

이번 취약점은 AI가 발견했는데, 10년 넘게 노출되지 않았던 심각한 보안 결함으로 평가된다. 사이버보안업체 캘리프는 오픈AI의 모델 ‘GPT-5.6 솔(Sol)’을 이용해 PHP의 취약점을 찾아냈다. 구글 계열 사이버보안업체 위즈도 독자적으로 두 건의 취약점을 발견해 PHP 재단 측에 신고했다.

이 결함은 수년간 PHP 코드에 존재했으며 과거에도 잠재적인 문제로 지적됐지만, 실제 공격에 악용하기는 어려울 것이라 여겨져왔다. 그러나 캘리프는 직접 취약점 공격 시연까지 해본 것으로 알려졌다.

위즈의 공동창업자인 아미 루트와크는 이번 결함에 대해 “AI가 발견한 보안 취약점 가운데 역대 가장 심각하다”며 “AI가 없었다면 발견하기에 지나치게 복잡했을 것”이라고 말했다. 오픈AI도 성명을 통해 “이번 결함의 심각성과 PHP의 광범위한 사용을 고려할 때 최근 들어 가장 파급력이 큰 보안 취약점 중 하나로 평가한다”고 말했다.

PHP 개발진은 애초 22일 보안 패치를 공개할 계획이었지만, 취약점이 드러나고 지난 20일 온라인 게시판에 관련 정보가 유출되면서 배포 일정을 하루 앞당겼다.

그러나 보안 패치가 배포되기 전부터 일부 해커들이 취약점을 악용한 공격을 시도한 것으로 알려졌다. 웹·클라우드 보안업체 클라우드플레어의 데인 크네히트 최고기술책임자(CTO)는 “초기 공격 시도가 나타나고 있으며, 새로운 공격 경로가 발견될 때마다 대응 조치를 업데이트하고 있다”고 말했다.

네덜란드와 핀란드 등 일부 유럽 국가의 정부 기관들은 예방 차원에서 웹사이트 운영을 중단했다. 유럽과 일본, 호주 등의 사이버보안 당국도 긴급 업데이트를 권고했다. 미 국가보안국은 PHP 사용 기관과 기업에 업데이트 패치 설치가 늦어진다면 오프라인으로 전환하라는 지침을 내렸다.

이에 대해 우리 정부도 긴급대응에 나섰다. 과학기술정보통신부는 22일 각 기업 최고정보보호책임자(CISO)를 대상으로 PHP 보안 취약점에 따른 른 사고를 예방하기 위해 긴급 보안 조치를 취할 것을 당부했다. 이해민 대통령비서실 AI미래기획 수석은 페이스북에서 “PHP 보안 취약점으로 인한 피해우려가 확산되고 있다”면서 “이 상황을 매우 심각하게 보고 있다. 관련 기관 대응책을 가동중이라는 것을 우선 알린다”고 전했다. 도현정·박세정 기자