수십 년 된 PHP 결함, AI 시대에 치명적 위협으로 돌아오다

🌐 PHP에서 발견된 보안 약점

• 전 세계 웹사이트의 최대 70%에서 사용되는 프로그래밍 기술 PHP에서 치명적인 보안 취약점이 발견됐습니다. PHP 프로젝트를 관리하는 개발자들은 지난 수요일 이 문제를 공개하고 긴급 보안 업데이트에 나섰습니다. 일부 정부기관과 기업은 공격 가능성을 우려해 웹사이트 운영을 선제적으로 중단했고, 취약점을 악용하려는 사이버 공격 시도가 포착됐다는 보고도 나오기 시작했습니다.
• 이번에 발견된 취약점은 'PHP2Shell'이라고 불립니다. PHP가 컴퓨터의 메모리를 관리하는 과정에서 발생하는 결함으로, 공격자가 이를 악용하면 보안 업데이트가 적용되지 않은 웹서버에서 허가받지 않은 프로그램을 실행할 수 있습니다. 서버에 저장된 정보를 탈취하거나, 해당 웹사이트를 방문한 이용자를 대상으로 추가 공격을 시도하는 것도 가능해집니다.
• PHP 프로젝트를 관리하는 비영리재단의 보안 엔지니어 폴커 두슈는 이번 문제가 지난 10여 년간 PHP에서 발견된 보안 취약점 가운데 가장 심각하다고 평가했습니다. 그는 이를 2014년 전 세계 수많은 서버에 긴급 보안 조치를 요구했던 '하트블리드(Heartbleed)' 사태에 비유했습니다. 인터넷의 기반 기술에서 발견된 작은 결함 하나가 전 세계 웹사이트 운영자들을 비상 사태에 몰아넣은 셈입니다.

🔍 수십 년간 숨어 있던 결함

• 이번 취약점은 미국 보안기업 캘리프(Calif)의 연구원 라이언 오스틴이 지난 8월 PHP의 소스코드를 점검하는 과정에서 발견했습니다. 연구에는 오픈AI의 고성능 AI 모델인 GPT-5.6 Sol이 활용됐습니다. 오픈AI는 AI가 발견하는 소프트웨어 취약점에 오픈소스 프로젝트들이 대응할 수 있도록 여러 보안 점검 작업에 자금을 지원하고 있었습니다.
• 흥미로운 것은 문제가 된 코드가 PHP 내부에 오랫동안 존재했다는 사실입니다. 수십 년 전에도 한 보안 연구자가 해당 영역의 위험성을 지적했지만, 실제 공격에 활용하기에는 지나치게 복잡하다고 여겨져 사실상 잊혀 있었습니다. 그러나 AI의 도움을 받은 연구진은 기존에 활용하기 어렵다고 판단했던 결함을 실제 공격으로 연결할 수 있는 방법을 찾아냈습니다.
• 연구진은 PHP 서버에 수십 차례 요청을 보내는 것만으로 메모리에서 실행되는 코드를 조작할 수 있다는 사실을 확인했습니다. 규모가 작은 시스템에서는 공격에 몇 초밖에 걸리지 않았고, 복잡한 시스템에서도 수 시간 안에 악용이 가능했습니다. 오랫동안 알려져 있었지만 공격하기 어렵다고 여겨졌던 취약점이 AI의 등장으로 현실적인 위협으로 바뀐 셈입니다.

⚔️ 보안 전문가와 해커의 속도 경쟁

• 소프트웨어에서 심각한 취약점이 발견되면 보안 전문가들은 이를 수정하는 패치를 개발합니다. 하지만 패치가 공개되는 순간부터 또 다른 경쟁이 시작됩니다. 서버 운영자들은 보안 업데이트를 검증하고 설치해야 하고, 해커들은 패치에서 변경된 부분을 분석해 어떤 취약점이 수정됐는지 역으로 추적합니다.
• 과거에는 이런 분석에 상당한 전문지식과 시간이 필요했습니다. 그러나 AI는 방대한 소스코드를 빠르게 비교하고 공격 가능성을 분석할 수 있습니다. 보안 패치가 공개된 뒤 공격 방법이 만들어지기까지 걸리는 시간이 크게 짧아질 수 있단 건데요. 특히 수많은 웹사이트에서 사용되는 PHP 같은 기술에서는 일부 서버가 업데이트를 마치기 전에 공격이 시작될 가능성이 있습니다.
• 캘리프의 타이 즈엉 CEO는 누군가 공개된 보안 패치를 AI에 분석시키고 공격 코드를 인터넷에 올릴 수 있다고 경고했습니다. 과거에는 취약점을 발견하고 공격 방법을 개발하는 데 시간이 걸렸지만, 이제는 AI가 그 과정을 빠르게 처리할 수 있기 때문입니다. 보안 전문가들이 패치를 배포하는 속도보다 해커들이 취약점을 악용하는 속도가 빨라질 수 있다는 점이 새로운 위험 요소입니다.

🤝 구글과 오픈AI까지 긴급 대응

• 캘리프 연구진은 지난 8월 11일 PHP 프로젝트의 보안 담당자인 두슈에게 연락해 심각한 취약점이 발견됐다는 사실을 알렸습니다. 두슈는 처음에는 문제의 규모에 당황했지만 곧 대응에 착수했습니다. 이후 보안 연구자와 소프트웨어 개발자, 관련 기업들이 참여하는 비공식 협력체가 구성됐습니다.
• 조사 과정에서 구글의 사이버보안 기업 위즈(Wiz) 연구진도 독자적으로 발견한 공격 방법을 공유했습니다. 오픈AI 연구팀에서도 추가 분석 결과를 전달했습니다. 서로 다른 연구진이 같은 취약점을 여러 방식으로 악용할 수 있다는 사실을 확인하면서 문제의 심각성은 더욱 분명해졌습니다. 위즈 공동창업자 아미 루트왁은 이번 취약점이 AI 없이 발견하기에는 지나치게 복잡했을 가능성이 높다고 평가했습니다.
• AI는 보안 연구자들이 과거보다 훨씬 많은 소프트웨어 결함을 찾아내도록 돕고 있습니다. 하지만 이는 PHP 같은 오픈소스 프로젝트에 새로운 부담이기도 합니다. 발견되는 취약점이 급증하면서 개발자들이 이를 분석하고 수정하는 업무도 폭증하기 때문입니다. AI가 보안 문제를 더 잘 찾아낼수록 이를 해결해야 하는 개발자들의 부담 역시 커지는 역설적인 상황입니다.

🔐 두 달 넘게 비밀에 부친 이유

• 연구진은 PHP2Shell의 존재를 확인한 뒤에도 곧바로 외부에 공개하지 않았습니다. 보안 패치가 완성되기 전에 취약점의 구체적인 내용이 알려지면 AI를 활용한 해커들이 이를 악용할 수 있다고 판단했기 때문입니다. 개발자들은 문제를 해결할 시간을 확보하기 위해 관련 정보를 제한된 인원 사이에서만 공유했습니다.
• 수정 작업의 규모도 상당했습니다. 약 200개 파일에 대한 수정이 진행됐고, 개발자들은 1만 줄이 넘는 코드를 작성했습니다. 연구진은 취약점을 악용할 수 있는 여러 경로를 차단하면서 정상적인 PHP 서비스가 계속 작동하도록 해야 했습니다. 광범위하게 사용되는 소프트웨어인 만큼 보안 문제를 해결하는 동시에 기존 웹사이트에 장애가 발생하지 않도록 하는 것도 중요한 과제였습니다.
• 당초 보안 패치 공개일은 10월 22일로 예정돼 있었습니다. 하지만 공개를 이틀도 남기지 않은 화요일, 온라인 개발자 커뮤니티 해커뉴스에 패치 관련 정보가 유출됐습니다. 연구진은 일정을 앞당기기로 결정했고, 화요일 긴급 업데이트를 예고한 뒤 수요일 보안 패치를 공개했습니다. 두슈는 웹사이트 운영자들에게 대응할 시간을 주면서도 공격자들에게 지나치게 많은 준비 시간을 허용하지 않기 위한 결정이었다고 설명했습니다.

⚠️ AI가 바꾸는 사이버 보안의 규칙

• 이번 사건은 AI가 사이버 보안에 미치는 영향을 잘 보여줍니다. AI는 인간이 오랫동안 발견하지 못했거나 실제 공격이 어렵다고 여겼던 취약점을 찾아낼 수 있습니다. 보안 전문가들에게는 더 많은 위험을 사전에 발견할 수 있는 강력한 도구가 생긴 셈입니다. 하지만 같은 능력이 해커들에게도 제공될 수 있다는 것이 문제인데요.
• 특히 PHP처럼 광범위하게 사용되는 소프트웨어에서는 취약점이 발견된 뒤 실제 공격으로 이어지기까지의 시간이 중요합니다. 공격자가 취약점을 악용하기 전에 얼마나 많은 서버가 보안 업데이트를 적용하느냐에 따라 피해 규모가 달라질 수 있습니다. 앞으로는 취약점을 발견하는 능력뿐 아니라 패치를 신속하게 개발하고 배포하며 적용하는 능력이 사이버 보안의 핵심 경쟁력이 될 가능성이 큽니다.

https://www.wsj.com/tech/cybersecurity/ai-just-found-a-bug-that-puts-up-to-70-of-the-worlds-websites-at-risk-fd0902ea?mod=tech_trendingnow_article_pos5