PHP 보안 구멍 어떻게 막나⋯"업데이트만이 유일한 해법"

[아이뉴스24 정승필 기자] 인공지능(AI)이 발견한 보안 취약점으로 세계 각국 웹사이트에 비상이 걸렸다. 웹사이트 구축에 널리 쓰이는 프로그래밍 언어 PHP에서 보안 문제가 확인된 것이다.

유럽에서는 정부·병원 웹사이트가 잇따라 중단됐고, 보안 패치 공개 이후 수백만 건의 공격 시도가 감지됐다. 피해 확산을 막기 위해서는 최신 보안 수정판을 즉시 적용해야 한다.

22일(현지시간) 로이터통신 등에 따르면 이번 사태는 프로그래밍 언어 PHP에서 발견된 'PHP2셸(PHP2Shell)' 취약점 때문에 발생했다. PHP2셸은 해커가 외부에서 웹서버에 무단으로 접근해 프로그램을 실행할 수 있게 하는 보안상 허점이다.

PHP는 워드프레스·드루팔·줌라 등 주요 웹사이트 운영 프로그램에 사용된다. 전 세계 웹사이트 약 70%가 PHP를 사용한다.

취약점은 PHP의 메모리 관리 방식에서 발견됐다. 해커가 이를 악용하면 별도 로그인 없이 서버에서 악성 코드를 실행하거나 민감한 정보를 빼낼 수 있다. PHP 자체에 결함이 있어 이를 사용하는 웹사이트가 공격 대상이 될 수 있다.

미국 보안업체 캘리프(Calif)가 지난 8월 오픈AI의 'GPT-5.6 Sol'로 PHP 소스코드를 분석하던 중 취약점을 발견했다. 해당 결함은 과거에도 지적됐지만 실제 공격에 활용하기 어려운 것으로 여겨졌다.

그러나 캘리프는 AI를 이용해 서버에 수십 차례 요청을 보내는 것만으로 메모리에서 실행되는 코드를 제어하는 방법을 찾아냈다. 소규모 시스템은 수초, 복잡한 시스템도 수시간이면 공격할 수 있었다.

구글 산하 클라우드 보안업체 위즈(Wiz)도 AI를 활용해 같은 취약점을 발견했다. 위즈는 기존에 수개월이 걸릴 공격 방법 개발을 단기간에 마쳤다고 설명했다.

이와 관련해 PHP 재단은 이번 취약점 2건의 심각도를 국제 보안 취약점 평가체계(CVSS) 기준 각각 9.2점으로 평가했다. 최고점은 10점이다.

PHP 재단은 당초 22일 보안 패치를 공개할 예정이었다. 그러나 지난 20일 온라인 커뮤니티에 관련 정보가 유출되자 일정을 하루 앞당겨 수정판을 배포했다.

각국 정부도 대응에 나섰다. 독일과 프랑스는 일부 정부 웹사이트 운영을 중단했다. 네덜란드에서는 정부 기관과 병원, 로테르담항 등 웹사이트가 중단됐고 핀란드와 체코도 일부 온라인 서비스를 일시 폐쇄했다. 일본 미쓰비시UFJ금융그룹도 일부 인터넷 서비스를 중단했다.

패치 공개 이후 공격 시도도 급증했다. 로이터통신에 따르면 클라우드플레어(Cloudflare)는 취약점 공개 후 45분 만에 수만 건, 2시간 뒤에는 수십만 건의 공격 시도를 감지했다.

누적 공격 시도는 수백만 건으로 늘었다. 실제 침해로 이어진 규모는 확인되지 않았다.

보안 전문가들은 AI가 취약점을 공격에 활용하는 데 필요한 시간을 줄이고 있다고 지적한다. 과거에는 복잡한 소프트웨어 결함을 공격 수단으로 만드는 데 상당한 전문 지식과 시간이 필요했지만, AI가 코드 분석과 반복 시험을 지원하면서 개발 속도가 빨라졌다는 것이다.

위즈 공동 창업자 아미 루트와크는 "지금까지 AI로 발견한 보안 결함 중 가장 심각한 사례"라고 평가했다.

PHP 재단은 피해 방지를 위해 웹서버에 설치된 PHP를 최신 보안 수정판으로 업데이트할 것을 권고했다. 재단은 "취약점을 완전히 차단할 다른 대응책은 없다"며 "PHP 업데이트만이 유일하게 안전한 선택"이라고 밝혔다.