전 세계 웹사이트 75% 해킹 경보, AI가 발견한 PHP 보안 취약점은? 🚨

웹사이트 개발에 널리 쓰이는 프로그래밍 언어 'PHP'에서 치명적인 보안 취약점 2건이 발견됐어요. 인공지능(AI)이 오랫동안 숨어 있던 결함을 찾아낸 건데요. PHP가 전 세계 웹사이트에서 광범위하게 쓰이는 만큼, 전 세계 사이버 보안이 위험에 노출됐다는 걱정이 나와요.

PHP가 뭐야?

PHP는 웹사이트를 만들고 운영하는 데 쓰이는 프로그래밍 언어예요. 웹 기술 분석업체 W3Techs에 따르면 서버 측 프로그래밍 언어를 확인할 수 있는 전 세계 웹사이트의 약 75%가 PHP를 사용하고 있는데요. 전체 웹사이트의 약 43%가 사용하는 웹사이트 제작·관리 시스템 워드프레스도 PHP 기반으로 작동해요. 그만큼 이번 취약점의 영향을 받는 범위가 넓다고.

어떤 문제가 어떻게 발견된 거야?

이번 취약점은 AI를 활용한 보안 분석 과정에서 발견됐어요. 사이버보안업체 캘리프가 오픈AI의 모델 'GPT-5.6 솔(Sol)'을 이용해 8월 11일 첫 번째 취약점을 PHP 개발팀에 보고했고요. 구글 계열 보안업체 위즈도 AI 모델을 활용해 취약점을 발견해 신고했어요. 위즈의 공동창업자 아미 루트와크는 "AI가 발견한 보안 취약점 가운데 역대 가장 심각하다"고 평가했어요. 발견된 취약점은 두 가지예요:

• 부적절한 예외 상황 처리: 예외 상황을 제대로 처리하지 못하는 결함이에요.
• 해제 후 사용: 이미 해제된 메모리를 다시 참조하는 결함이에요.

두 취약점 모두 공격자가 별도의 로그인이나 인증 없이 원격으로 악성 코드를 실행하거나 시스템을 장악할 수 있는 위험이 있어요.

지금 상황은 어때?

보안 취약점 발견 이후 PHP 개발진은 22일(현지시간) 보안 결함을 수정한 패치를 배포할 계획이었는데요. 20일 온라인에 취약점 관련 정보가 유출되면서 배포 일정을 하루 앞당겼어요.

그런데 여기서 논란이 하나 더 생겼어요. 패치 배포업체 '체인가드'가 공식 배포 예정 시간보다 약 6시간 앞서 패치가 적용된 코드를 기습 공개한 것. 이렇게 패치 코드가 먼저 공개되면 해커들이 이를 역분석해 공격 도구를 만들 수 있는데요. 당시 이용자들은 아직 정식 업데이트를 받지 못한 상태라 무방비로 노출될 수 있게 된 거예요.

네덜란드·핀란드 등 유럽 국가의 정부는 예방 차원에서 일부 정부 웹사이트 운영을 일시 중단했어요. 미국 사이버보안·인프라보안국(CISA)과 우리나라의 한국인터넷진흥원(KISA)도 KISA도 관련 기관과 기업에 보안 업데이트를 권고했어요.

앞으로는 어떻게 될까?

AI 도구의 발전으로 인간이 발견하지 못한 보안 취약점을 찾아내는 기술도 발전했지만, 공격 도구를 만드는 속도도 빨라져서 걱정을 키우고 있어요. 캘리프 최고경영자(CEO) 타이 두옹은 "보안 패치를 AI를 돌려보고, 이를 악용할 수 있어!"라며 "그러면 대혼란이 일어날 것"이라고 경고했어요.