PHP 치명적 취약점 2건 패치…AI가 실제 공격 가능성 입증

2024년 발견하고도 수정 지연…사이버보안 'AI 창과 방패' 속도전

[연합 AI 플랫폼 생성 이미지. 재판매 및 DB 금지]

(서울=연합뉴스) 심재훈 기자 = 전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 인공지능(AI)을 활용한 분석을 통해 실제 서버 공격에 악용될 수 있는 보안 취약점이 확인돼 큰 충격을 주고 있다.

이미 2024년 발견됐지만 수정되지 않았던 결함의 공격 가능성이 AI를 통해 드러난 것으로, 이제는 사이버보안 분야에서도 취약점을 먼저 찾아내고 대응하려는 'AI 속도전'이 거세지고 있음을 보여준다.

◇ 2년 전 찾고도 '보류'…AI가 공격 가능성 입증하자 패치

22일 PHP 재단과 구글 클라우드, 오픈AI 등에 따르면 PHP 개발진은 전날 인증 절차 없이 외부에서 서버에 악성 코드를 실행할 수 있는 취약점 2건(CVE-2026-109618, CVE-2026-109619)을 고친 보안 업데이트를 내놨다. 보안업계는 이 취약점에 'PHP2Shell'이라는 이름을 붙였다.

PHP는 회원 가입이나 로그인, 데이터베이스 처리 같은 웹사이트 기능을 만드는 데 쓰이는 서버용 프로그래밍 언어다. 워드프레스, 드루팔 등 대표적인 웹사이트 구축·관리 도구(CMS)도 PHP를 기반으로 한다.

이번 취약점은 개별 사이트의 코딩 실수가 아니라 PHP 자체의 내부 처리 과정에서 비롯됐다. 공격자가 이를 악용하면 취약한 서버에서 원하는 코드를 마음대로 실행하거나 시스템 제어권을 가로챌 수 있다.

주목한 점은 결함이 처음 발견된 뒤 패치가 나오기까지의 과정이다.

PHP 재단에 따르면 이 결함은 2024년 독일 '소버린 테크 펀드'(STF)의 지원으로 진행된 보안 감사에서 처음 포착됐다.

[EPA=연합뉴스. 재판매 및 DB 금지]

당시 개발진은 메모리 부족(OOM) 상황을 처리하는 과정에서 생길 수 있는 결함을 확인하고 수정 방안을 논의했다. 그러나 만장일치 합의로 결정하는 구조 탓에 결론을 내지 못했고, 기존 라이브러리와의 호환성이 깨질 수 있다는 우려와 성능 저하 논란까지 겹치면서 패치는 보류됐다. 이 결함이 실제 원격 코드 실행(RCE) 공격으로 이어질 수 있다는 점을 당시로선 입증하지 못한 것도 작용했다.

하지만 상황이 바뀐 건 지난 8월이다.

미국 보안업체 캘리프(Calif) 연구진이 오픈AI의 'GPT-5.6 솔'로 PHP 코드를 분석했고, 오픈AI 보안팀도 별도 연구에서 같은 결함을 찾아냈다. 이 결함은 8월 11일 PHP 재단에 신고됐다.

잠재적 버그 정도로 여겨지던 결함이 AI 분석을 통해 실제 시스템 침투 경로로 확인된 것이다.

PHP 재단은 신고를 받은 뒤 두 달여 검증 작업을 거쳐 21일 공식 보안 업데이트를 배포했다. 재단은 대응이 늦어진 원인으로 거버넌스의 한계와 자원 부족을 인정하고 보안 체계를 손보겠다고 밝혔다.

국내 IT업체 임원은 "과거에는 보안 결함을 발견하더라도 실제 공격으로 이어질 수 있는지 분석하려면 상당한 시간이 필요했는데 AI가 복잡한 코드의 취약점을 분석하고 공격 가능성을 검증하는 데 활용되면서 속도가 빨라지고 있다"고 우려했다.

◇ 빨라진 AI 취약점 탐색…공격 악용·'허위 신고' 부담도

보안업계에서는 이번 일을 AI가 사이버보안의 공격과 방어 양쪽에서 속도 경쟁을 본격화한 사례로 보고 있다.

과거 보안 분석은 사람이 직접 코드를 뜯어보거나 정적 분석 도구에 기대는 방식이었다. 이제는 대형언어모델(LLM) 기반 AI 에이전트가 방대한 코드에서 여러 논리 결함을 엮어 공격 코드를 거꾸로 설계해내는 수준까지 왔다.

이런 도구가 공격자 손에 들어가면 막기는 그만큼 어려워진다. 오픈AI도 분석 결과를 공개하면서 고성능 추론 모델이 취약점을 빨리 찾아내는 만큼 공격자가 악성 도구를 만드는 기간도 크게 줄일 수 있다고 경고했다.

이번에는 연구진이 공격자보다 먼저 결함을 찾아내 패치 작업을 할 시간을 벌었다. 하지만 방어하는 쪽이 앞으로도 늘 한발 앞선다는 보장은 없다.

AI를 활용한 취약점 신고가 쏟아지면서 오픈소스 진영의 검증 부담도 커졌다. PHP 재단에 따르면 지난 7월 이후 AI 등을 이용해 접수된 허위·중복 신고 100여 건을 걸러내느라 유지보수 인력이 대거 투입됐다.

[연합 AI 플랫폼 생성 이미지. 재판매 및 DB 금지]

패치가 나와도 현장 적용이 늦어지는 고질적인 문제도 여전하다.

기업이나 기관이 기존 시스템과의 호환성을 이유로 업데이트를 미루면 취약점은 그대로 남는다.

한국인터넷진흥원(KISA)은 'PHP'에서 취약점이 발견됐다며 보안 업데이트를 권고했다. 특히 PHP 8.1 이하 버전은 이미 공식 보안 지원이 종료된 만큼 지원 중인 버전으로 업그레이드해야 한다고 강조했다.

미 국가안보국(NSA)은 소셜미디어 엑스(X)에서 "즉각적인 업데이트가 불가능하다면, 취약점이 완전히 해결될 때까지 해당 시스템을 오프라인 상태로 전환할 것을 권고한다"고 밝혔다.

일본의 독립행정법인 정보처리추진기구도 PHP를 이용하고 있는 웹사이트 운영자 등에게 신속히 대응할 것을 요구했다.

한편 이번 PHP 보안 결함은 별도의 로그인이나 인증 절차 없이 외부에서 임의로 코드를 실행하거나 시스템을 장악할 수 있는 내용인 것으로 알려졌다.

전 세계 웹사이트의 약 70%가 PHP를 쓰지만, 실제 침투가 가능한지는 서버 설정이나 활성화된 모듈에 따라 다르다.

국내 보안업계 관계자는 "AI가 제로데이 취약점마저 허물고 있다"며 "이제 사이버보안은 사후 대응을 넘어 AI로 취약점을 먼저 찾아내 방어를 자동화하는 경쟁이 됐다"고 말했다.

AI스타트업 관계자는 "앞으로는 AI로 보안 결함을 먼저 발견하는 것뿐만 아니라 얼마나 빨리 검증하고 패치를 적용하느냐가 중요해질 것"이라고 덧붙였다.

president21@yna.co.kr

Copyright 연합뉴스 All rights reserved. 무단 전재 및 재배포 금지.