PHP 치명적 결함에 전 세계 비상…사흘째 피해는 왜 잠잠할까

취약점 공개 직후 공격 시도 수백만 건…공개 전부터 악용 시도 포착

메모리 오류 악용하려면 고도의 기술 필요…공격 성공까지 시간 걸릴 수도

피해 확인 안 됐다고 안심 못 해…패치·자산 점검 서둘러야

[서울=뉴시스] 사진은 기사의 이해를 돕기 위한 이미지. (사진=유토이미지) 2026.10.10. [email protected] *재판매 및 DB 금지

[서울=뉴시스]박은비 윤정민 기자 = 지난 21일 저녁. 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 'PHP'에 심각한 결함이 공개되자 전 세계가 발칵 뒤집혔다.

아이디와 비밀번호가 없어도 서버를 제어하거나 핵심 정보를 빼낼 수 있는 치명적 오류다. 방치할 경우 대규모 정보 유출과 시스템 마비 등 막대한 피해가 우려된다.

세계 각국은 긴급 대응에 나섰다. 미국과 유럽, 일본 등 각국 사이버 보안 당국이 대응에 나섰고, 우리 정부도 21일 청와대 국가안보실 주재로 민·관·군 사이버 안보 긴급 대책 회의를 열었다.

그런데 이상한 점이 있다. 취약점 공개 이후 나흘이 지나도록 대규모 피해 사례는 뚜렷하게 확인되지 않고 있다. 유럽 일부 정부 포털과 병원 웹사이트, 일본의 항공사·철도회사·금융기관 등이 긴급 점검을 위해 서비스를 중단한 사례는 있지만, 실제 정보 유출이나 시스템 장악 등 피해 규모는 아직 명확하지 않다.

치명적인 보안 결함이 발견됐고 공격 시도도 급증했다는데, 왜 피해 소식은 잠잠할까.

PHP 취약점 공격 시도는 이미 진행 중…공개 직전부터 수천건

보안 전문가들은 대형 피해 사례가 확인되지 않았다고 해서 위협이 과장된 것은 아니라고 지적한다. 실제 공격이 진행 중이더라도 피해가 아직 드러나지 않았을 가능성이 있기 때문이다.

24일 보안업계에 따르면 PHP 취약점 공개 직후 이를 악용하려는 공격 시도가 급증했다. 다만 공격 시도가 실제 침해 성공으로 이어졌는지는 별개의 문제다.

매슈 프린스 클라우드플레어 최고경영자(CEO)는 소셜미디어(SNS)를 통해 취약점 공개 전 10시간 동안 수천 건이던 악용 시도가 공개 후 2시간 안에 수십만 건으로 늘었고, 이후 수백만 건에 달했다고 밝혔다. 취약점이 공개되기 이전부터 보안 결함을 악용한 공격 시도가 포착됐다는 의미다.

아마존 위협 인텔리전스팀은 지난 17일(현지시각) PHP 취약점을 겨냥한 공격 시도를 처음 탐지했다. 취약점 공개 나흘 전이다.
 
 

취약점 발견과 공격 성공은 별개…고도의 기술 필요

취약점 공개 후 공격 시도가 급증했는데도 대규모 피해가 확인되지 않는 이유 중 하나로는 공격의 높은 난도가 꼽힌다.

이번 PHP 취약점은 프로그램이 메모리를 처리하는 과정에서 발생하는 오류다. 공격자가 이 오류를 일으키는 것만으로는 충분하지 않다. 메모리가 해제되고 재사용되는 과정까지 정교하게 제어해야 원하는 결과를 얻을 수 있다.

취약점이 존재한다고 해서 모든 서버에서 같은 공격 코드가 곧바로 작동하는 것은 아니라는 얘기다.

[서울=뉴시스] 사진은 기사의 이해를 돕기 위한 이미지. (사진=유토이미지) 2026.10.10. [email protected] *재판매 및 DB 금지

전문가들은 취약점의 심각성과 실제 공격의 성공 가능성을 구분해야 한다고 강조한다. 위험성이 크더라도 공격자가 이를 안정적으로 악용하는 방법을 확보하기까지 시간이 걸릴 수 있다는 것이다.

미국 사이버 보안 연구·컨설팅 기업 트레일오브비츠의 댄 귀도 CEO는 "경력 10년의 보안 전문가조차 첨단 인공지능(AI) 모델을 활용해 해당 취약점을 실제 공격에 활용하는 데 하루가 걸렸다"고 언급했다.

소포스의 돈 스미스 위협연구 담당 부사장도 "취약점을 악용하기가 처음 예상했던 것보다 어려운 것으로 보인다"고 밝혔다. 다만 공격이 장기간에 걸쳐 서서히 진행될 가능성도 있다고 내다봤다.

피해 없다고 안심은 금물…이미 침투했을 가능성도

실제 공격이 성공했더라도 피해가 곧바로 드러나지 않을 수 있다. 공격자가 침투 흔적을 지우거나 보안 모니터링이 제대로 이뤄지지 않으면 정보 유출이나 시스템 장악 사실을 뒤늦게 발견할 수 있다.

특히 보안 인력이 부족하거나 기업이 보유한 서버와 소프트웨어를 제대로 파악하지 못한 경우 위험이 더 커진다. 취약한 PHP 버전이 어디에 설치돼 있는지조차 모르면 공격에 노출된 사실을 알아차리기 어렵기 때문이다.

프린스 CEO는 해커가 이미 일부 시스템에 침입한 뒤 외부에 드러나지 않은 채 잠복하고 있을 가능성도 배제할 수 없다고 지적했다.

박세준 티오리 대표는 "공격자가 PHP 취약점을 활용해 안정적으로 공격에 성공하는 방법을 아직 알아내지 못했는지 현재로서는 알 수 없다"며 "공격 성공 가능성이 제로(0)이 아니라면 최악의 상황에 대비해 패치하도록 권고하는 것이 안전하다"고 말했다.

강정민 고려대 인공지능사이버보안학과 교수는 취약한 소프트웨어를 신속하게 찾아내는 체계가 중요하다고 강조했다.

강 교수는 "이번 사태에서 중요한 문제는 조직 내부에서 취약한 PHP 버전이 어디에 사용되고 있는지 즉시 확인하기 어렵다는 점"이라며 "소프트웨어 구성명세서(SBOM)와 자산 관리 체계를 연계해 소프트웨어 구성 요소와 의존성을 파악하고, 실제 운영 환경을 파악할 수 있는 가시성을 확보해야 한다"고 조언했다.


◎공감언론 뉴시스 [email protected], [email protected]