"수십년 숨은 결함, AI가 수분 만에 찾았다"…버그게돈 시작됐나[긴급 진단-PHP 버그 비상③]

하트블리드부터 로그포셸까지…안전하다고 믿었던 오픈소스·SW의 반전

10년 묵은 보안 결함, 일주일에 찾았다…AI가 당긴 '초고속 해킹 대란' 경고

전문가들 "패치 전 공격 터지는 '버그마게돈' 도래…AI 방어망 구축 시급"

[서울=뉴시스] 인터넷 보안 시스템. 기사의 이해를 돕기 위한 이미지. (사진=유토이미지) 2026.08.07. [email protected] *재판매 및 DB 금지

[서울=뉴시스]윤정민 기자 = #1. 인터넷 통신을 안전하게 보호하던 암호화 기술이 한순간에 개인정보 유출의 통로로 변했다. 2014년 캐나다 국세청에서 납세자 900여 명의 사회보험번호가 유출되는 사고가 터졌다. 해커는 암호화 통신 프로그램 '오픈SSL'에 숨어 있던 취약점 '하트블리드'를 악용했다. 당시 웹서버 시장의 약 66%를 차지한 아파치·엔진엑스는 암호화 통신에 오픈SSL을 사용했다. 이 취약점을 통해 해커는 자신의 흔적도 남기지 않은 채 비밀번호와 세션 쿠키를 빼낼 수 있다. "인터넷 역사상 최악의 보안 결함"으로 불렸다. 

#2. 기업의 핵심 업무용 서버가 해커의 가상자산 채굴기로 무단 동원되기도 했다. 안랩에 따르면 2023년 국내 에너지 기업 서버에 채굴 악성코드가 깔린 원인은 2021년 공개된 취약점 '로그포셸(Log4Shell)' 때문이었다. 자바 기반 애플리케이션에서 보편적으로 쓰는 프로그램인데, 해커가 단순히 채팅창이나 아이디 입력란에 특정 문자열을 입력하기만 해도 악성코드를 깔 수 있는 결함이다. 무려 8년 만에 발견된 이 취약점으로 애플, 아마존, 마이크로소프트 등 전 세계 IT 기업 직원들도 연말 연휴를 반납하고 대응해야 했다.

PHP 사태처럼 인터넷 생태계를 위협하는 치명적인 취약점이 발견된 건 처음이 아니다. 수십 년간 안전하다고 믿었던 소프트웨어 속 결함이 드러나며 전 세계 인터넷이 마비되는 일들이 수 년에 걸쳐 한차례씩 반복돼 왔다.

이제는 인공지능(AI)이 오래된 결함을 분석하고 실제 공격 가능성을 입증하는 시간을 줄이고 있다. 그동안 악용하기 어렵다고 여겼던 결함까지 공격 수단으로 바뀔 수 있다는 점에서 PHP 사태는 이제 시작에 불과할 수 있다는 우려가 나온다.

누구나 안전하다고 믿었던 인프라가 한순간에 무너지는 '버그마게돈(버그+아마게돈)'이 현실로 다가오고 있다는 경고다.
 

25년 숨은 보안 구멍…인터넷 뒤흔든 취약점의 잔혹사

세상에 완벽한 시스템은 없다. 아무리 오랜 기간 널리 쓰인 프로그램이라도 보안 결함에서 자유롭지 못했다.

2014년 공개된 '셸쇼크'는 명령 처리 프로그램 '배시'에 무려 25년간 아무도 몰랐던 결함이었다. 배시는 리눅스·유닉스 계열 운영체제에서 널리 쓰인다. 일부 웹서버 등에서는 외부 공격자가 로그인하지 않고도 명령을 실행할 수 있었다. 악성코드를 설치하거나 정보를 빼낼 수 있는 통로였다.

[서울=뉴시스] 암호화 통신 소프트웨어 '오픈SSL'의 보안 취약점 '하트블리드'를 상징하는 로고. 2014년 공개된 이 취약점은 서버 메모리에 담긴 비밀번호와 암호화 비밀키 등을 외부에서 읽을 수 있는 결함이다. (사진=하트블리드) *재판매 및 DB 금지

같은 해 등장한 '하트블리드'는 웹사이트와 이용자 사이의 통신을 암호화하는 오픈SSL에서 터졌다.

해커들은 서버 메모리에 담긴 비밀번호와 핵심 암호화 키를 통째로 읽어갔다. 이미 유출된 정보를 되돌릴 수 없어 비밀키와 인증서 자체를 전부 교체해야 했다. 취약한 버전이 배포된 지 약 2년 만에 공개됐다.

2021년 12월 전 세계를 뒤흔든 '로그포셸'은 여러 제품 속에 들어간 공통 소프트웨어가 공격 통로로 바뀐 사례다. 자바로 만든 프로그램에서 오류나 이용 기록 등을 남기는 도구 '로그포제이(Log4j)'에서 발견됐다. 공격자가 보낸 특정 문자열이 취약한 프로그램에서 처리되면 외부 악성코드를 불러와 실행할 수 있었다. 기업이 직접 설치하지 않았더라도 도입한 제품에 포함돼 있으면 영향을 받을 수 있었다.

10년 묵은 결함, AI가 일주일 만에 입증…"해킹 문턱 대폭 낮아졌다"

[서울=뉴시스] 구글 산하 보안기업 위즈 연구진이 PHP 취약점 'PHP2Shell'을 이용해 워드프레스 기반 시험 서버에서 로그인 없이 명령을 실행한 시연 화면. 하단에 인증 없는 원격 코드 실행에 성공했다는 결과가 표시돼 있다. 2026.10.22. (사진=사기 차디크 위즈 연구원 엑스 캡처) *재판매 및 DB 금지

이번 PHP 사태가 과거와 다른 결정적 차이는 AI의 개입이다.

구글 산하 보안기업 위즈에 따르면 이번 PHP 결함은 10년 넘게 코드 속에 잠자고 있었다. 과거라면 수많은 오류를 조합하고 시험하는 데 최고 수준 연구팀이 수개월을 쏟아부어야 했다.

하지만 AI는 반복적인 코드 분석과 시험을 자동화하며 이 과정을 단 일주일 만에 끝냈다.

아미 루트와크 위즈 공동창업자는 엑스에 "지금까지 AI를 활용해 발견한 취약점 중 가장 심각하다"며 즉각적인 패치를 촉구했다.

박찬암 스틸리언 대표도 "소스코드는 프로그램의 원리를 기술한 설계도와 같다"며 "AI는 소스코드가 없을 때보다 이를 읽고 분석해 취약점을 수월하게 찾을 수 있다"고 설명했다.

PHP 사태는 시작일 뿐?…'버그마게돈' 현실화 경고

과거에는 해커가 취약점 하나를 찾는 데 몇 달이 걸렸다. 하지만 AI가 몇십 년 된 결함을 수분 만에 찾는 시대가 오면서 보안 패치가 만들어지기도 전에 대규모 공격이 퍼지는 무서운 상황에 직면했다.

김경곤 런던 레이븐스번대 사이버보안과정 교수는 "취약점 발견과 공격 기술 개발에 필요한 시간과 전문성의 장벽이 낮아지면서 사이버 공격과 방어의 속도는 더욱 빨라질 것"이라고 전망했다.

다만 AI로 인해 취약점이 빠르게 드러나는 현상을 절망적으로 볼 필요는 없다. 방어자 역시 공격자에 앞서 결함을 미리 찾아 고칠 수 있는 기회를 얻기 때문이다.

박찬암 대표는 "앞으로 유사한 결함 발굴 사례가 늘어날 것"이라며 "오픈소스의 허점을 지속해서 보완해 나간다면 장기적으로 인터넷 생태계의 안전성이 한층 강화될 수 있다"고 제언했다.
           
전상훈 웨비즘 대표는 "앞으로 치명적 보안 결함 노출은 더욱 빈번해지고, 패치 적용에 걸리는 시간보다 공격 속도가 훨씬 빨라질 것"이라며 "모든 자산의 현황과 버전을 실시간 파악해 피해가 발생하더라도 그 범위를 관리하는 게 우선돼야 할 것"이라고 조언했다.


◎공감언론 뉴시스 [email protected]