전 세계 수많은 웹사이트의 기반이 되는 프로그래밍 언어에서 해커가 별도 인증 없이 서버를 장악할 수 있는 치명적인 보안 결함이 확인됐다.
21일(현지시간) 로이터통신과 월스트리트저널(WSJ) 등에 따르면 웹 개발에 널리 활용되는 프로그래밍 언어 'PHP'의 개발진은 이날 심각한 보안 취약점 2건을 해결하기 위한 긴급 업데이트를 배포했다.
문제가 된 결함은 외부 공격자가 로그인이나 인증 절차를 거치지 않고도 서버에서 악성 코드를 실행할 수 있도록 하는 취약점이다. 공격에 성공할 경우 웹사이트를 무단으로 조작하거나 민감한 정보를 탈취하는 등 피해로 이어질 수 있다.
이번 사태가 주목받는 이유는 PHP의 막대한 사용 범위 때문이다. 웹 기술 조사기관 W3Techs에 따르면 사용 언어를 확인할 수 있는 웹사이트 가운데 상당수가 PHP를 기반으로 운영된다. 전 세계 웹사이트의 약 43%에서 사용하는 콘텐츠 관리 시스템 '워드프레스' 역시 PHP로 구동된다.
특히 해당 취약점은 10년 넘게 존재했지만 그동안 실제 공격에 활용하기 어려운 문제로 여겨졌다. 그러나 AI 기술을 활용한 보안 분석을 통해 구체적인 공격 가능성이 확인되면서 위험성이 새롭게 드러났다.
사이버보안업체 캘리프는 오픈AI의 인공지능 모델 'GPT-5.6 솔(Sol)'을 활용해 결함을 찾아냈다. 구글 계열 보안업체 위즈 역시 AI 모델을 동원한 별도 조사에서 취약점 2건을 확인하고 PHP 개발진에 신고했다.
위즈 공동창업자 아미 루트와크는 이번 사태를 두고 "AI가 발견한 보안 취약점 가운데 역대 가장 심각하다"며 "AI가 없었다면 발견하기에 지나치게 복잡했을 것"이라고 평가했다.
오픈AI도 성명을 통해 "이번 결함의 심각성과 PHP의 광범위한 사용을 고려할 때 최근 들어 가장 파급력이 큰 보안 취약점 중 하나로 평가한다"고 밝혔다.
당초 PHP 개발진은 22일 수정 버전을 공개할 예정이었다. 그러나 20일 온라인상에 취약점 관련 정보가 일부 유출되면서 배포 일정을 하루 앞당겼다.
보안 업데이트가 정식으로 공개되기 전부터 일부 해커들이 결함을 악용하려는 움직임을 보였다는 보고도 잇따랐다.
웹·클라우드 보안업체 클라우드플레어의 데인 크네히트 최고기술책임자(CTO)는 "초기 공격 시도가 나타나고 있으며, 새로운 공격 경로가 발견될 때마다 대응 조치를 업데이트하고 있다"고 밝혔다.
정부 기관들도 피해 예방에 나섰다. 네덜란드와 핀란드 등 유럽 일부 국가에서는 보안 조치를 위해 정부 웹사이트 운영을 일시 중단했다. 유럽을 비롯해 일본과 호주 등의 사이버보안 당국도 관련 시스템을 신속히 업데이트할 것을 권고했다.
이번 사태는 AI가 기존 보안 기술로는 발견하기 어려웠던 취약점을 찾아내는 동시에 해커들의 공격 능력까지 높일 수 있다는 점에서 경각심을 키우고 있다. 보안업계에서는 취약한 PHP 버전을 사용하는 웹사이트 운영자들이 긴급 보안 패치를 적용해야 한다고 강조하고 있다.
Copyright ⓒ 경기일보 무단 전재 및 재배포 금지
