[PHP 취약점 파장] AI가 찾아낸 보안 구멍⋯우리 홈페이지도 위험할까? [Q&A]

[아이뉴스24 안세준·곽민구 기자] 전 세계 웹사이트에 널리 사용되는 프로그래밍 언어 'PHP'에서 치명적인 보안 취약점 2건이 발견되면서 국내외 정보기술(IT) 업계에 비상이 걸렸다. 정부는 취약점 정보가 이미 유출된 만큼 업데이트를 마친 서버라도 이상 접속 기록이나 원격조종 파일 설치 여부 등 침해 흔적의 전반적인 점검을 당부하고 있다.

과학기술정보통신부는 22일 낮 12시를 기해 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 격상했다. PHP 개발팀은 이미 취약점을 해결한 보안 업데이트를 배포했지만, 실제 피해를 막으려면 웹사이트 운영 기업과 기관의 신속한 조치가 필요하기 때문이다.

이번 취약점의 발견 경위와 영향 범위, 대응 방법 등을 문답으로 정리했다.

-PHP란 무엇인가.

"홈페이지와 온라인 쇼핑몰, 게시판 등 웹서비스를 개발하는 데 사용되는 프로그래밍 언어다. 이용자가 웹사이트에 접속하거나 정보를 입력하면 서버에서 필요한 작업을 처리하는 역할을 한다. 과기정통부에 따르면, 국내에서 많이 사용되는 워드프레스와 그누보드 등 홈페이지 제작 도구도 PHP를 기반으로 작동한다."

-전 세계 웹사이트 대부분이 PHP를 사용한다는 말이 사실인가.

"웹 기술 통계업체 W3Techs의 자료에 따르면, 서버 측 프로그래밍 언어를 식별할 수 있는 웹사이트 가운데 69.3%가 PHP를 사용하고 있다. 다만 이는 전 세계 모든 웹사이트가 아닌 사용 언어가 확인된 사이트를 기준으로 집계한 수치다. 국내 웹사이트의 정확한 PHP 사용 비율은 별도 확인이 필요하다.

특히 PHP를 사용한다고 해서 모든 웹사이트가 이번 취약점에 노출된 것은 아니다. 실제 위험 여부는 사용 중인 PHP 버전과 보안 업데이트 적용 상태 등에 따라 달라진다."

-취약점 발견, 무엇이 문제인가.

"공격자가 아이디나 비밀번호 없이 인터넷을 통해 특수하게 조작한 요청을 보내 서버에 원하는 명령을 실행할 수 있다는 점이다. 과기정통부에 따르면, 공격이 성공할 경우 서버에 원격조종 파일을 설치하거나 고객정보를 빼내고 홈페이지를 변조·마비시키는 등의 피해를 발생시킬 수 있다.

이번 취약점은 개별 홈페이지 프로그램이 아닌 PHP 자체에서 발견됐다. 따라서 홈페이지를 안전하게 개발했더라도 취약한 PHP 환경에서 운영하고 있다면 영향을 받을 수 있다."

-취약점, 어떻게 발견된 것인가.

"보안 연구진이 AI를 활용해 PHP 내부 소스코드를 분석하고 실제 공격 가능성을 검증하는 과정에서 발견했다. 오픈AI에 따르면, 보안 연구기업 캘리프는 GPT-5.6 솔(Sol)을 활용해 PHP의 치명적인 결함을 발견했다.

글로벌 보안기업 위즈 역시 자체 AI 보안 연구 도구인 위즈 아틀라스와 구글의 제미나이 4 아르곤, GPT-5.6 솔 등을 활용해 취약점을 찾아냈다. 단순히 인터넷이나 SNS에 공개된 해킹 정보를 검색해 취약점을 찾아낸 것이 아니라 AI를 소프트웨어 코드 분석과 보안 검증에 활용한 사례다."

-보안 업데이트만 하면 문제가 해결되는가.

"취약점 자체를 해결하려면 공식 보안 업데이트를 적용해야 한다. PHP 개발팀은 21일(현지시간) 취약점을 해결한 버전을 배포했다. 과기정통부는 22일 기업과 기관에 운영 중인 모든 홈페이지와 시스템의 PHP 버전을 확인하고 보안 업데이트를 즉시 적용할 것을 권고했다. 업데이트 이후에는 웹서비스를 반드시 재시작해야 한다.

다만 PHP 8.1 이하 구버전은 공식 업데이트가 제공되지 않는다. 지원되는 상위 버전으로 전환해야 한다는 의미다. 관리하지 않는 홈페이지, 외주로 제작한 쇼핑몰, 장비 관리 화면 등에도 PHP가 사용되고 있을 수 있어 꼼꼼한 확인이 필요하다.

-패치를 완료했다면 추가 조치는 필요 없는가.

"과기정통부와 한국인터넷진흥원(KISA) 등에 따르면, 취약점 정보는 보안 업데이트 배포 이전에 이미 유출됐다. 해외 보안업체를 중심으로 공격 시도 또한 보고되고 있다. 우리 정부는 업데이트를 마친 서버라도 비정상적인 접속 기록과 웹셸 설치 여부 등 침해 흔적을 점검하도록 권고하고 있다.

당장 업데이트하기 어려운 시스템이 있다면 웹방화벽(WAF) 등의 탐지·차단 규칙을 적용하고, 필요하면 외부 인터넷 접속을 차단하거나 서비스를 일시 중단해야 한다."

-정부가 사이버위기 경보를 격상한 이유는 무엇인가.

"취약점 정보가 유출된 상황에서 대규모 해킹으로 이어질 가능성에 선제적으로 대응하기 위해서다. 과기정통부는 22일 낮 12시부터 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 상향했다. 민간 분야 사이버위기 경보는 관심·주의·경계·심각 등 4단계로 구분된다.

배경훈 부총리 겸 과기정통부 장관은 "이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고, 공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다"며 인터넷 접점 자산에 대한 즉각적인 차단과 웹방화벽 규칙의 선제 적용을 강조했다.