-20년 넘게 사용된 프로그래밍 언어서 치명적 취약점 발견
-호주 사이버보안 웹사이트 접속 장애, 유럽 각국 사이트도 차단
-260만개 호스트 중 150만개 미패치 버전 사용, 즉각 업데이트 권고
심각한 보안 취약점
인공지능(AI)을 활용해 널리 사용되는 웹 프로그래밍 언어의 심각한 보안 취약점이 발견되면서 호주를 비롯한 세계 각국의 정부 기관과 웹사이트 운영자들이 긴급 대응에 나섰다. 해커들이 취약점을 악용할 수 있다는 우려가 커지자 일부 기관은 보안 업데이트를 적용하기 위해 웹사이트와 서비스를 일시적으로 중단했다.
로이터통신(Reuters)에 따르면 10월 21일(현지시간) 유럽을 비롯한 여러 지역에서 정부 웹사이트가 오프라인 상태가 됐다. 호주에서도 호주 신호정보국(ASD-Australian Signals Directorate)이 일부 정부 웹사이트가 영향을 받았다고 밝혔으며, 호주 사이버보안 웹사이트(cyber.gov.au)도 목요일 인터넷 이용자들이 접속할 수 없는 상태가 됐다.
이번 사태는 웹사이트와 웹 애플리케이션을 구동하는 프로그래밍 언어 PHP에서 중대한 보안 취약점이 발견되면서 촉발됐다. PHP 개발팀은 긴급 보안 수정 사항을 공개하고 모든 이용자에게 즉시 업데이트할 것을 권고했다.
취약점 발견
PHP는 1990년대 초 등장한 프로그래밍 언어로, 처음에는 ‘개인 홈페이지(Personal Home Page)’를 의미했다. 현재는 인터넷 전반에서 널리 사용되는 무료 오픈소스 소프트웨어로, 자원봉사 개발자들이 유지·관리하고 있다. 이 언어는 워드프레스(WordPress), 드루팔(Drupal), 줌라(Joomla), 마젠토(Magento) 등 주요 웹사이트 플랫폼을 비롯해 다양한 웹 호스팅 서비스와 소프트웨어의 기반이 된다. 웹 기술 분석업체 W3Techs에 따르면 프로그래밍 언어를 확인할 수 있는 웹사이트 가운데 약 75%가 PHP를 사용한다.
이번에 발견된 취약점은 PHP 코드에 10년 넘게 숨어 있었으며, AI를 활용한 분석을 통해 드러났다. 보안 전문가들은 취약점이 공개된 뒤 공격자들이 AI 도구를 이용해 결함을 분석하고 공격 수단을 개발할 수 있어 신속한 대응이 필요하다고 경고했다.
PHP 개발팀은 수요일 두 가지 중대한 취약점을 해결하기 위한 보안 업데이트를 공개했다. 미국 연방수사국(FBI-Federal Bureau of Investigation)의 사이버 부문은 해당 취약점이 공격자에게 원격으로 코드를 실행할 수 있는 기회를 제공할 수 있다고 경고했다. 이 경우 서버와 네트워크가 침해되고 민감한 정보가 노출될 위험이 있다.
각국 사이버보안 기관은 PHP 이용자들에게 공식 보안 지침을 확인하고 즉시 업데이트하도록 촉구했다. 보안 패치를 곧바로 적용할 수 없다면 웹사이트를 일시적으로 오프라인 상태로 전환하는 방안도 권고했다.
인터넷 정보 분석업체 센시스(Censys)에 따르면 조사 대상 260만개 호스트 가운데 약 150만개가 아직 수정 사항이 제공되지 않은 PHP 버전을 실행하고 있다고 보고했다. 이는 해당 호스트들이 모두 침해됐다는 뜻은 아니지만, 보안 위험에 노출될 수 있는 시스템이 상당수 남아 있음을 보여준다.
드루팔협회(Drupal Association)의 임시 최고경영자 티파니 패리스(Tiffany Farriss)는 지난 20년 동안 출시된 PHP 버전을 사용하는 서버들이 취약할 수 있다고 경고하며, 이번 문제가 인터넷 전반에 광범위한 영향을 미칠 수 있다고 밝혔다.
해킹 확산 우려
사이버보안 전문가들은 보안 수정 사항이 공개된 만큼 공격자들이 취약점을 악용하는 방법을 빠르게 찾아낼 수 있다고 우려했다.
사이버보안 연구·사고 대응 기업 티엘피:블랙(TLP)의 공동 창업자 코스틴 라이우(Costin Raiu)는 AI가 취약점을 악용하려는 경쟁을 가속하고 있다며, 다음 단계는 인터넷에 연결된 취약한 웹 서버들이 대규모로 침해되는 사태가 될 수 있다고 경고했다.
킹스칼리지런던(King’s College London)의 방문 선임 연구원 루카시 올레이니크(Lukasz Olejnik)는 최근 몇 주 동안 AI를 활용한 해킹 활동이 늘고 있다며, 패치가 적용되지 않은 서버들이 큰 피해를 볼 수 있다고 말했다. 그는 취약한 시스템의 규모가 방대하고 AI를 활용하면 공격이 즉각적으로 이뤄질 수도 있다고 지적했다.
사이버보안 기업 아크틱 울프(Arctic Wolf)의 위협 연구·정보 부문 부사장 이스마엘 발렌수엘라(Ismael Valenzuela)는 PHP가 서버 측 프로그래밍 언어를 확인할 수 있는 웹사이트의 약 70%를 구동한다고 설명했다. 그는 이번 취약점이 인터넷의 상당 부분을 차지하는 기업 및 상업 인프라를 잠재적인 위험에 노출시켰다며, 모든 웹사이트가 취약하다는 뜻은 아니지만 즉각적인 대응이 필요하다고 강조했다.
사이버보안 기업 헌트리스(Huntress)도 PHP가 워드프레스와 드루팔 등 주요 플랫폼뿐 아니라 공유 호스팅 서비스, 제어판 및 PHP 사용 여부가 명확하게 드러나지 않는 다양한 소프트웨어에 활용된다고 설명했다. 헌트리스는 애플리케이션 하나가 아니라 PHP 자체에서 중대한 결함이 발견되면 취약한 버전을 찾아내야 하는 대상이 매우 빠르게 늘어난다며 잠재적 영향이 크다고 경고했다.
호주 정부도 영향
호주 신호정보국(ASD)은 수요일 엑스(X)를 통해 정부 웹사이트에 영향을 미칠 수 있는 장애를 인지하고 있다고 밝혔다. ASD는 호주 사이버보안 웹사이트(cyber.gov.au)를 포함한 정부 웹사이트가 영향을 받았을 수 있다고 설명했다. PHP를 사용하는 기관과 개인에게는 공식 지침을 확인하고 보안 패치가 제공되는 대로 적용하도록 당부했다.
호주에서 정확히 몇 개의 정부 웹사이트가 영향을 받았는지는 확인되지 않았다. 다만 PHP가 전 세계 웹사이트에 광범위하게 사용되는 만큼 취약점이 악용될 경우 상당한 파급 효과가 발생할 수 있다는 우려가 제기됐다.
호주를 비롯한 각국 기관들은 취약한 시스템을 점검하고 보안 업데이트를 적용하는 과정에서 일부 서비스를 중단했다. 보안 패치가 적용되지 않은 시스템을 계속 운영하면 원격 코드 실행을 통한 침해 위험이 커질 수 있기 때문이다.
유럽 잇단 차단
네덜란드에서는 국가사이버보안센터(National Cyber Security Centre)가 예방 차원에서 자체 웹사이트를 오프라인으로 전환했다. 이후 여러 기관도 같은 조치를 취했다. 로테르담항(Port of Rotterdam), 네덜란드 정부 포털 오버헤이드(Overheid.nl), 네덜란드 왕립축구협회(KNVB), 네덜란드 주요 정당 5곳의 웹사이트와 일부 병원 웹사이트도 오프라인 상태가 됐다. 네덜란드 총리는 상황을 면밀히 주시하고 있다고 밝혔다.
덴마크에서는 지방자치단체 IT 기업 콤빗(Kombit)이 전국 학교 소통 플랫폼을 포함한 여러 서비스를 중단했다. 핀란드에서는 국가 IT 서비스 제공기관 발토리(Valtori)가 예방 조치로 정부 공공 네트워크 서비스를 오프라인으로 전환했다.
프랑스 내무부는 모든 웹사이트를 예방적 유지보수 상태로 전환했다고 밝혔다.
온라인 백과사전 위키피디아(Wikipedia) 운영 측도 안전하게 보안 패치를 적용할 수 있을 때까지 공개되지 않은 수의 시스템을 중단했다고 발표했다. 온라인 디지털 도서관 인터넷 아카이브(Internet Archive) 역시 이번 문제에 대응하기 위해 일시적으로 오프라인 상태가 됐다고 밝혔다.
일본 총리 다카이치 사나에(Sanae Takaichi)는 엑스(X)에 웹사이트 운영자들이 현재 운영 중인 사이트에서 PHP를 사용하는지 확인하고 새로운 보안 수정 사항을 적용할 준비를 해야 한다고 게시했다.
AI가 결함 찾아내
이번 취약점은 AI를 활용한 보안 연구 과정에서 발견됐다.
보안 기업 캘리프(Calif)는 8월 1일 대규모 언어모델(LLM)의 도움으로 결함을 발견했으며, 이후 해결책을 마련해 왔다고 블로그를 통해 설명했다.
구글 모회사 알파벳(Alphabet) 산하 보안 기업 위즈(Wiz)도 자체 자율형 AI 취약점 연구 도구인 위즈 아틀라스(Wiz Atlas)와 구글의 제미나이 4 아르곤(Gemini 4 Argon), 오픈AI(OpenAI)의 GPT-5.6 솔(GPT-5.6 Sol)을 활용해 취약점을 발견했다고 밝혔다.
위즈는 해당 취약점이 10년 넘게 PHP 코드에 숨어 있었으며, AI가 등장하기 전에는 사람이 이를 찾아내고 실제 공격에 활용하는 작업이 매우 복잡했을 것이라고 설명했다. 위즈는 과거에는 이러한 분석을 수작업으로 구현하기 어려웠고 대규모로 확대하기는 더욱 힘들었지만, AI가 등장하면서 이러한 장벽이 낮아졌다고 지적했다.
캘리프와 위즈는 취약점을 발견한 뒤 PHP 개발팀 및 오픈AI와 협력해 문제 해결과 보안 대응을 조율했다고 밝혔다.
오픈AI는 블로그에서 지난 두 달 동안 PHP 취약점 대응을 위해 연구자, 보안 기업 등과 협력하는 공동 대응 체계를 주도했다고 설명했다. PHP 유지·관리자들이 수정과 보안 업데이트 배포를 주도했으며, 위즈와 클라우드플레어(Cloudflare) 등 협력 기업들이 취약점 연구, 기술 지원 및 공개 전 보호 조치 마련에 참여했다고 밝혔다.
미국 백악관은 금요일 이번 취약점에 관한 보고를 받았다고 밝혔다. 백악관은 성명에서 미국이 ‘SI’ 분야에서 주도권을 유지하는 것이 중요하다는 점을 이번 발견이 보여준다며, 미국의 혁신이 국가안보를 강화하고 있다고 강조했다. ‘SI’는 도널드 트럼프(Donald Trump) 대통령이 인공지능을 지칭할 때 선호하는 표현이다.
보안 패치 시급
PHP 기반 웹사이트 가운데 일부는 운영 환경에 따라 위험 수준이 다를 수 있다.
워드프레스닷컴(WordPress.com) 운영사 오토매틱(Automattic)은 자사가 호스팅하는 서비스와 텀블러(Tumblr) 이용자는 이번 취약점으로부터 안전하다고 밝혔다. 반면 개인이나 기술 인력이 부족한 소규모 기관이 직접 운영하는 PHP 기반 웹사이트는 상대적으로 위험이 클 수 있다. 특히 여러 고객이 서버를 공유하는 호스팅 서비스에서는 이용자가 서버 자체를 직접 관리하지 않는 경우가 많아 취약점 대응이 복잡해질 수 있다.
전문가들은 PHP 자체의 취약점이 광범위한 서비스에 영향을 줄 수 있는 만큼 운영자가 사용 중인 PHP 버전을 확인하고 공식 보안 지침에 따라 패치를 적용해야 한다고 강조했다. 보안 업데이트를 즉시 적용할 수 없다면 웹사이트를 일시적으로 중단하는 방안도 고려해야 한다. 취약점이 공개된 상황에서 대응이 지연되면 공격자들이 보안 조치가 이뤄지지 않은 시스템을 노릴 수 있기 때문이다.
이번 사태는 AI가 복잡한 소프트웨어의 보안 결함을 찾아내는 데 기여하는 동시에, 공격자가 취약점을 분석하고 악용하는 데 필요한 장벽도 낮출 수 있다는 점을 보여준다. PHP를 사용하는 웹사이트가 전 세계에 광범위하게 분포한 만큼, 보안 패치 적용과 취약 시스템 점검이 시급한 과제로 떠올랐다.
이경미(Caty)기자 kyungmi@koreanherald.com.au
