[AI 해킹] “서버 문 닫고 긴급 점검” 기업들 덮친 ‘PHP 쇼크’, AI가 찾은 보안 허점 줄줄이 대기

웹사이트 70% 사용 PHP서 서버 침입 허점 확인
공개 전 악용 시도에 북한 연계 공격 준비 정황까지
기업·기관 긴급 대응 속 업무 차질·복구 부담 확대

전 세계 웹사이트 10곳 중 7곳이 사용하는 프로그래밍 언어 PHP(Hypertext Preprocessor)에서 치명적인 보안 취약점이 드러나면서 글로벌 인터넷 보안에 비상이 걸렸다. 외부 공격자가 인증 없이 서버에서 악성 코드를 실행하는 결함으로, 공개 전부터 악용 시도가 포착된 데 이어 북한 연계가 의심되는 해킹 세력의 공격 준비 정황도 드러났다. 공격을 막기 위해 서비스를 중단하는 곳까지 나오면서 보안 위협은 업무 차질과 복구 부담으로 이어진 상황이다. 보안업계에서는 인공지능(AI) 도구가 기존 소프트웨어의 숨은 결함을 찾아내면서 당분간 PHP와 같은 중대 취약점이 잇따라 드러날 것으로 보고 있다.

인증 없이 서버 뚫는 PHP 취약점 확인

25일(이하 현지시간) PHP 개발팀에 따르면 전 세계 웹사이트에 광범위하게 쓰이는 프로그래밍 언어 PHP에서 외부 공격자가 별도의 인증 없이 서버에서 악성 코드를 실행할 수 있는 보안 취약점 두 건이 확인됐다. ‘PHP2Shell’로 불리는 이번 취약점에는 ‘CVE-2026-109618’과 ‘CVE-2026-109619’라는 식별번호가 붙었다. 국제 공통 취약점 평가체계(CVSS 4.0)에 따른 심각도는 각각 10점 만점에 9.2점으로, 최고 위험 등급인 ‘치명적’으로 분류됐다. 공격자가 조작된 웹 요청을 보내 서버에서 임의의 명령을 실행할 수 있어 정보 유출과 데이터 변조, 서비스 중단으로 이어질 위험이 있다. 특히 PHP를 아파치 웹서버의 모듈로 구동하는 환경에서는 웹사이트의 프로그램 코드가 실행되기 전에도 공격이 가능한 것으로 확인됐다.

취약점이 공개되기 나흘 전부터 이를 악용하려 한 흔적도 포착됐다. CJ 모지스 아마존 최고정보보안책임자(CISO)는 21일 자사 보안 블로그에서 위협 탐지 시스템 ‘매드팟(MadPot)’의 기록을 분석한 결과, 지난 17일 PHP2Shell을 겨냥한 공격 시도를 확인했다고 밝혔다. 매드팟은 공격자를 유인하기 위해 설치한 미끼 서버를 통해 침입 수법과 움직임을 수집하는 시스템이다. 취약점 공개 당일에도 공식 발표 수 시간 전부터 추가 공격이 감지됐으며, 공개 이후에는 수 시간 만에 새로운 공격용 코드가 등장해 탐지망을 겨냥했다.

공격자들이 노린 허점은 PHP가 요청 처리 도중 오류를 일으켰을 때 메모리를 정리하는 과정에 있었다. 첫 번째 취약점은 파일 업로드 등을 처리하다 메모리 사용 한도에 도달해 작업이 중단되는 상황에서 발생한다. 내부 데이터가 완성되기 전에 작업이 멈추면, 뒤이은 정리 과정에서 불완전한 데이터를 정상적인 값으로 취급해 메모리 손상을 일으킬 수 있다. 두 번째는 앞선 요청에 사용한 메모리를 해제하고도 이를 가리키는 내부 정보가 남는 결함이다. 같은 작업 프로세스가 다음 요청을 처리하면서 해당 정보를 다시 참조하면 공격자가 실행 흐름에 개입할 여지가 생긴다. 두 결함 모두 웹 요청을 처리하는 PHP 내부에서 발생해, 이를 기반으로 구동되는 여러 웹사이트가 영향을 받을 수 있는 구조다.

표1. PHP2Shell 취약점 주요 내용

웹사이트 코드 멀쩡해도 PHP 결함은 위험

실제 공격 가능성을 검증한 실험에서도 여러 웹사이트 제작·관리 시스템이 취약점을 드러냈다. 클라우드 보안업체 위즈(Wiz) 연구진은 워드프레스(WordPress)·드루팔(Drupal)·줌라(Joomla)의 시험 당시 최신 배포 환경에서 인증 없이 원격으로 코드를 실행하는 데 성공했다. 연구진은 웹사이트 자체 코드에 보안상 문제가 없어도 취약한 PHP 버전을 사용하면 공격에 노출될 수 있다고 설명했다. 짧은 인사말만 출력하도록 만든 기초적인 웹페이지에도 같은 위험이 있다는 것이다. 여기에 원격 코드 실행 없이 정보를 빼낼 수 있는 경로도 확인됐다. 별도 실험에서 연구진은 PHP 프로세스의 메모리를 읽어 비밀번호와 인증 토큰, 외부 서비스 접속에 쓰이는 API 키를 추출했다.

오랫동안 PHP에 남아 있던 결함이 실제 침입에 악용될 수 있다는 사실을 밝혀내는 데는 AI가 결정적인 역할을 했다. 위즈 연구진은 AI 도구로 복잡한 메모리 처리 과정을 분석하고, 여러 결함을 연결해 서버에서 코드를 실행하는 공격 방식을 구현했다. 서버마다 다른 실행 환경에 맞춰 공격 코드를 수정하고 오류를 찾아내는 작업에도 AI가 동원됐다. 연구진에 따르면 취약한 코드는 10년 넘게 존재했으며, 이를 공격에 활용하려면 복잡한 분석과 반복 검증이 필요했다. 이미 공개 전 공격 흔적이 발견된 만큼 해커들이 보안 허점을 먼저 파악해 은밀한 침입에 이용했을 가능성도 남아 있다.

북한 해킹조직 라자루스, PHP 취약점 악용해 공격 준비 정황

취약점 공개 이후 포착된 공격 준비 정황에서는 북한 연계 가능성도 제기됐다. 싱가포르 사이버보안업체 사이퍼마(CYFIRMA)는 23일 공개한 보고서에서 한국어를 사용하는 해킹 세력이 익명 통신망 ‘I2P’의 비공개 대화방에서 PHP2Shell을 이용한 공격을 모의했다고 밝혔다. 이들은 정부기관과 은행을 우선 표적으로 정하고 국가·업종별로 공격 대상을 분류한 것으로 파악됐다. 미국·일본·유럽연합(EU) 등의 정부·금융기관이 표적에 포함됐으며, 물류·항만·공항과 제조업 분야도 공격 대상으로 거론됐다. 공격 준비 과정에는 AI도 동원됐다. 공개된 공격 코드를 수집해 AI로 활용 우선순위를 매긴 뒤, 별도 시험 환경에서 작동 여부를 검증하는 방식이다.

사이퍼마가 북한 연계 가능성에 주목한 것은 대화에 사용된 언어와 표적 선정 방식, 공격 수법이 북한 배후 해킹조직인 라자루스의 기존 활동과 유사하다고 판단해서다. 비공개 대화방에서는 한국어로 작업 지시와 표적 목록이 오갔고, 정부기관과 금융기관을 우선 공략하려는 계획도 확인됐다. 이어 24일 확보한 대화에서는 보안 조치가 미흡한 서버 216대를 추렸다는 주장이 나왔으며, 공격 대상의 취약 여부를 살피면서 탐지망에 걸리지 않도록 접속량을 조절하는 방식도 논의됐다. 사이퍼마는 정부 기밀 수집과 금전 탈취를 함께 추구해 온 라자루스의 활동 양상에 부합한다고 분석했다. 웹서버에 침투해 원격 제어용 악성 프로그램을 심고, 장악한 서버를 후속 공격의 거점으로 활용하는 수법 역시 연계 가능성을 뒷받침하는 근거로 제시됐다.

표2. PHP2Shell 악용 공격 준비 정황 및 북한 연계 가능성

보안 점검부터 서버 복구까지 기업 부담 가중

공격 준비 정황이 드러나면서 기업들은 보안 조치에 따른 업무 중단까지 감수해야 하는 상황에 놓였다. PHP가 쓰이는 곳은 대외 홈페이지부터 협력사 포털, 관리자 화면까지 넓게 퍼져 있어 점검 대상 파악부터 쉽지 않은 실정이다. 클라우드 보안업체 시스디그의 로리스 데지오아니 최고기술책임자(CTO)는 관리 목록에서 누락된 웹사이트까지 거론하며 일부 서버가 수주에서 수개월 동안 공격에 노출될 것으로 내다봤다. 점검이 늦어지는 시스템의 접속을 차단하면 핵심 업무에도 차질이 불가피하다. 보안업체 버그크라우드의 닉 매켄지 최고정보보안책임자(CISO)는 기업들이 심각한 사이버 공격 위험과 서비스 중단에 따른 사업상 손실을 함께 저울질해야 하는 처지라고 설명했다.

서비스 중단의 여파는 웹사이트 접속 현황에서도 확인됐다. 웹사이트 감시업체 업타임로봇에 따르면, 21일 자사 관측망의 서비스 중단 알림은 최고 분당 3만7,000건으로 평소의 11배에 달했다. 보안 업데이트 배포 이후에도 접속 장애가 수 시간 동안 집중된 데는 업데이트를 적용하는 과정의 병목도 한몫했다. 파일을 내려받으려는 수요가 한꺼번에 몰리면서 일부 배포 서버에 오류가 발생한 것이다. 서버 환경에 맞는 배포본이 늦게 나와 운영자가 소스코드를 직접 빌드한 경우도 있었다. 다음 날 오전까지 서비스 중단 알림이 평소보다 약 30% 많은 수준을 유지할 만큼 정상화에는 시간이 걸렸다.

실제 침입까지 발생한 기업은 악성 프로그램 제거와 피해 범위 조사라는 추가 과제도 안고 있다. PHP의 결함을 수정한 뒤에도 공격자가 심어둔 원격 제어 프로그램이나 탈취한 계정은 재접속 통로로 남을 위험이 크다. 복구에는 접속 기록과 침입 경로를 추적하고 다른 시스템의 피해 여부까지 확인하는 디지털 포렌식 작업이 뒤따른다. 조사 결과에 따라 서버 재구축과 백업 자료 검증까지 필요해지면 전문인력 투입 비용과 복구 기간도 늘어날 수밖에 없다. 특히 거래처와 주문·납품 정보를 주고받는 시스템이 장기간 멈추면 협력사의 출하·정산 업무까지 지연될 우려가 크다.

클라우드플레어 “수년간 매주 위기 겪을 것”

PHP 사태로 드러난 점검·복구 부담은 소프트웨어의 취약점이 공개될 때마다 되풀이될 전망이다. AI가 기존 소프트웨어에 숨어 있던 결함을 잇달아 찾아내면서 PHP와 같은 대규모 보안 대응이 반복될 것이란 관측이 나오고 있다. 매슈 프린스 클라우드플레어 최고경영자(CEO)는 심각한 결함 여러 건을 이미 파악하고 있다고 지적하며, 앞으로 몇 년간 매주 위기가 닥치는 듯한 상황을 겪을 것으로 내다봤다. AI를 통한 코드 분석이 확대되면서 오래 묻혀 있던 허점들이 잇따라 드러날 것이란 관측이다. 오픈AI도 21일 PHP 외에 발견해 수정 중인 중대 취약점이 여러 건이라고 밝히고, 향후 수개월간 유사한 발견이 급증할 것으로 예상했다. 위협정보업체 벌른체크의 패트릭 개리티 연구원 역시 인터넷에 노출된 시스템을 둘러싼 긴급 대응이 더욱 잦아질 것으로 전망했다.

기업들이 보안 조치에 나서려면 먼저 해당 소프트웨어 개발팀의 검증과 수정이 이뤄져야 하지만, 이 작업을 맡을 인력부터 넉넉하지 않은 실정이다. 오픈AI는 상당수 오픈소스 개발팀이 소수 인력으로 일상적인 개발 업무와 보안 신고 검토를 병행하고 있다고 짚었다. AI가 찾아낸 결함이 한꺼번에 접수되면 기존 업무에 검증 작업까지 몰리는 셈이다. 실제로 보안업체 트레일오브비츠는 지난 6월 AI를 활용한 공동 점검 첫 주에만 19개 오픈소스 프로젝트에서 수백 건의 버그를 발견했다고 밝혔다. 접수된 결과에는 오탐과 중복 신고도 섞여 있어 전문가가 실제 결함 여부와 공격 가능성을 확인하는 절차가 필요했다. 검증을 통과한 결함도 수정 코드 작성과 기능 시험을 거쳐야 하며, 여러 제품에 공통으로 쓰이는 소프트웨어는 구버전용 수정본 제작과 서비스별 적용 준비까지 남아 있다.

취약점 발견이 늘어나는 가운데 공격에 대비할 시간마저 줄어들고 있다는 점도 기업들의 부담을 키우는 요인이다. AI는 방대한 코드를 연속적으로 분석하고, 발견한 허점을 실제 공격에 활용하는 코드까지 수 시간 만에 만들어내는 수준에 이르렀다. 런세이프시큐리티의 셰인 프라이 최고기술책임자(CTO)는 취약점을 찾아내는 시간과 공격자가 이를 무기화하는 시간이 근본적으로 달라지고 있다고 진단했다. 수정본의 작동 여부를 검증하고 여러 시스템에 차례로 적용하는 동안에도 공격 준비가 진행되는 것이다. 긴급 업데이트가 잦아질수록 정상 운영에 미칠 영향을 충분히 살피면서 보안 조치를 마쳐야 하는 현장의 압박도 커질 것으로 관측된다.