로그인 없이 서버 뚫린다…전세계 웹사이트 70% 위협하는 'PHP 취약점'

심각도 9.2점 취약점 2건 긴급 패치…로그인 없이 서버 명령 실행 위험

디시인사이드 이미지 업로드 차단…네덜란드·핀란드 정부 포털 등 일시 중단

10년 넘게 숨은 결함, AI로 공격 가능성 검증…수개월 걸릴 해킹 검증 일주일 만에

[서울=뉴시스] 사진은 인터넷 보안 시스템 컨셉. 기사의 이해를 돕기 위한 이미지. (사진=유토이미지) 2026.10.10. [email protected] *재판매 및 DB 금지

[서울=뉴시스]윤정민 기자 = 전 세계 웹사이트 약 70%에서 쓰이는 프로그래밍 언어 'PHP'에서 치명적인 보안 취약점이 발견돼 국내외 인터넷 서비스에 비상이 걸렸다.

해커가 로그인 없이도 서버를 제어하거나 비밀번호 등 핵심 정보를 빼낼 수 있는 결함이다. 방치할 경우 막대한 피해가 우려되면서 국내외 사이트들이 가동을 멈추거나 긴급 보안 패치에 착수했다.

특히 이번 취약점 발견에는 인공지능(AI)이 활용돼 눈길을 끌었다. AI가 복잡한 결함을 찾고 공격 가능성을 검증하는 문턱을 낮추면서 이를 악용하려는 공격자에 앞서 보안 업데이트를 적용하는 일이 중요해졌다는 평가가 나온다.

22일 PHP 그룹에 따르면 개발진은 전날 오후 11시(한국 시간) 고위험 취약점 두 건을 수정하는 긴급 보안 업데이트를 공개했다.

이번 결함은 국제 보안 취약점 평가체계(CVSS 4.0) 기준 10점 만점에 9.2점을 받았다. 가장 위험도가 높은 '치명적(Critical)' 등급이다.

로그인 없이 비밀번호 탈취 위험…당국 "업데이트 못 하면 접속 차단해야" 긴급 경보

[서울=뉴시스] PHP 로고. (사진=PHP) *재판매 및 DB 금지

PHP는 웹사이트 서버에서 로그인을 처리하거나 저장된 게시글을 불러오는 등 핵심 기능을 구현하는 언어다.

세계적인 블로그·웹사이트 제작 도구인 '워드프레스'와 '위키백과'도 PHP 기반이다. 전 세계 웹사이트 10곳 중 7곳이 이 언어로 작동한다.

보안업계에서는 이번 결함을 'PHP2Shell(PHP투셸)'로 부른다. PHP가 메모리를 처리하는 과정에서 발생하는 오류로, 해커가 인증 절차 없이 원격으로 악성 코드를 실행할 위험이 크다.

문제가 개별 웹사이트가 아닌 PHP 자체에 있어 사이트 프로그램을 업데이트하거나 임시 설정을 바꾸는 것만으로는 완전히 해결할 수 없다.

이에 국내외 사이버보안 당국도 긴급 대응을 주문했다.

한국인터넷진흥원(KISA)은 전날 보안 공지를 통해 취약한 PHP 버전을 사용하는 운영자에게 최신 버전으로 업데이트하라고 권고했다.

미국 국가안보국(NSA)과 유럽연합(EU) 기관·기구 사이버보안 대응조직인 CERT-EU도 신속한 업데이트를 촉구했다. 곧바로 조치하기 어렵다면 취약한 시스템의 외부 접속을 차단하는 방안도 검토하라고 당부했다.

디시인사이드 업로드 중단…유럽 공공기관 포털 문 닫았다

[서울=뉴시스] [서울=뉴시스] 22일(한국 시간) 오전 8시 기준 접속이 일시 중단된 네덜란드축구협회(KNVB) 홈페이지. 웹 개발 언어 PHP에서 치명적인 보안 취약점이 발견되면서 해외 주요 기관들이 예방 차원에서 웹사이트 운영을 중단했다. 2026.10.22. (사진=네덜란드축구협회 홈페이지 캡처) *재판매 및 DB 금지

실제 해킹 피해를 막기 위해 서비스를 선제적으로 멈추는 사례가 잇따랐다.

국내 최대 인터넷 커뮤니티 디시인사이드는 전날 밤부터 긴급 보안 점검을 이유로 이미지와 동영상 업로드 기능을 일시 차단했다.

유럽 현지 반응은 더욱 긴박했다. 네덜란드 정부 포털 '마인오버헤이트'와 하원, 네덜란드축구협회(KNVB), 주요 병원 웹사이트가 작동을 일시 중단했다. 핀란드 정부의 대외 웹서비스 역시 예방 차원에서 문을 닫았다.

전문가들은 외주로 제작된 소형 쇼핑몰이나 오래되어 방치된 구형 서버를 가장 취약한 사각지대로 짚었다.

박세준 티오리 대표는 전날 페이스북을 통해 "예전에 만들어 두고 잊은 사이트, 외주로 만든 쇼핑몰, 장비 관리 페이지에도 PHP가 숨어 있을 수 있다"며 주의를 당부했다.

로그프레소도 패치와 함께 PHP 프로그램의 비정상 종료, 서버 원격 조종용 악성 파일인 '웹셸', 의심스러운 외부 통신 등을 점검하라고 당부했다.

10년 숨은 결함, AI가 공격 가능성 입증…"수개월 작업을 일주일 만에"

[서울=뉴시스] 구글 산하 보안기업 위즈 연구진이 PHP 취약점 'PHP2Shell'을 이용해 워드프레스 기반 시험 서버에서 로그인 없이 명령을 실행한 시연 화면. 하단에 인증 없는 원격 코드 실행에 성공했다는 결과가 표시돼 있다. 2026.10.22. (사진=사기 차디크 위즈 연구원 엑스 캡처) *재판매 및 DB 금지

이번 사태는 인공지능(AI)이 보안 위협의 판도를 어떻게 바꾸고 있는지를 극명하게 보여줬다.

오픈AI는 자사의 최신 모델 'GPT-5.6 Sol'을 활용해 10년 이상 감춰져 있던 PHP의 중대한 결함을 발견했다고 발표했다. 구글 산하 보안기업 위즈 역시 제미나이 등 AI 도구를 활용해 독자적으로 해당 취약점을 포착했다.

오픈AI는 공격자보다 먼저 결함을 찾아 PHP 개발진과 보안 기업들이 대응할 시간을 확보했다고 설명했다. 다만 같은 AI 역량이 공격 도구 개발과 취약점 악용 속도도 높일 수 있다고 지적했다.

위즈에 따르면 관련 결함은 10년 넘게 PHP 코드에 남아 있었다. 여러 오류를 연결하고 서버 환경에 맞춰 공격 방법을 조정해야 해 악용 가능성을 입증하기 어려웠지만 AI가 반복적인 분석과 시험을 도와 장벽을 낮췄다.

위즈 측은 "AI와 적절한 도구를 활용한 연구자 한 명이 과거라면 최고 수준의 연구팀이 수개월간 수행했을 작업을 일주일 만에 마쳤다"며 "한때 악용하기 어렵다고 여겼던 취약점도 실제 공격 대상이 될 수 있다"고 평가했다.

아미 루트와크 위즈 공동창업자도 엑스를 통해 "지금까지 AI를 활용해 발견한 취약점 중 가장 심각하다"며 즉각적인 패치를 촉구했다.

실제 공격 시도도 포착됐다. 클라우드플레어는 취약점 정보가 공식 공개 전에 유출된 가운데 자사 고객을 겨냥한 공격 트래픽을 관측했다며 웹 방화벽 보호조치를 배포했다고 밝혔다.


◎공감언론 뉴시스 [email protected]