AI가 찾은 웹사이트 70% 취약점…유럽 정부사이트 줄줄이 셧다운 작성일 10-22 62 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">로그인 없이 서버 장악…‘GPT-5.6 솔’로 찾아<br>패치 앞두고 유출·엠바고 파기도…공격시도 포착</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="9JkTkm9UTA"> <figure class="figure_frm origin_fig" contents-hash="3327a90b19f1e3b2e115088c22381d10564552e034a2db39cd970df0d3368815" dmcf-pid="2iEyEs2uyj" dmcf-ptype="figure"> <p class="link_figure"><img alt="PHP2셸 보안취약점을 통한 원격 코드 실행 개요. 위즈 블로그 발췌·번역" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/22/dt/20261022063517346hjxo.jpg" data-org-width="640" dmcf-mid="bknmnNpXSk" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/22/dt/20261022063517346hjxo.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> PHP2셸 보안취약점을 통한 원격 코드 실행 개요. 위즈 블로그 발췌·번역 </figcaption> </figure> <p contents-hash="235a4139ebd25b56541155d9023f6b9b950e71480e0814b0f3b3a625181abaa8" dmcf-pid="VnDWDOV7hN" dmcf-ptype="general"><br> 웹사이트 운영에 널리 쓰이는 프로그래밍 언어 ‘PHP’에서 해커가 로그인 없이 서버를 장악할 수 있는 치명적 보안 취약점이 발견됐다. 10년 넘게 잠복해 있던 결함이 실제 공격에 쓰일 수 있다는 사실을 인공지능(AI)을 활용한 연구진이 밝혀냈다. 패치 공개를 앞두고 정보가 유출되고 공격 시도까지 포착되면서 유럽 각국 정부 기관이 웹사이트를 잇따라 닫는 등 혼란이 빚어졌다.</p> <p contents-hash="03abfdf742c937b18a58399aebae052bed73353671594c7a49e545c82022c3e1" dmcf-pid="fLwYwIfzTa" dmcf-ptype="general">PHP 개발진은 21일(현지시간) ‘PHP투셸’(PHP2Shell)로 불리는 취약점 2건(CVE-2026-109618·CVE-2026-109619)을 고친 8.5.12·8.4.27·8.3.36·8.2.35 버전을 긴급 배포했다. 심각도 점수(CVSS)는 각각 10점 만점에 9.2점이다.</p> <p contents-hash="fab2a5079d2f941b33ab481ead773e9a8aa6cc325e6146121bde14a8a663c1d2" dmcf-pid="4orGrC4qCg" dmcf-ptype="general">PHP는 웹 서버에서 페이지를 만들어 보내는 언어로, 워드프레스·드루팔·줌라 같은 대표적 홈페이지 제작 도구의 기반이다. 사용 언어가 확인되는 웹사이트의 약 70%가 PHP를 쓰는 것으로 알려졌다. PHP를 쓰는 웹 자산이 약 5500만 곳이라는 조사 결과도 있다. 이 중 절반 가량이 구버전으로 추정된다.</p> <p contents-hash="90d950ea0aba2dfaf890429efd80fa1c7eef057c3df62b6f4aa76339f1380148" dmcf-pid="8gmHmh8Bho" dmcf-ptype="general">구글클라우드의 보안 자회사 위즈(Wiz)에 따르면 PHP 5.4까지 거슬러 올라가는 거의 모든 버전이 이번 취약점 중 적어도 하나의 영향을 받는다. 정규 보안 지원이 끝난 8.1 이하 버전은 지원 버전으로 전환하거나 공급업체의 수정 제공 여부를 확인해야 한다. 다만 개발진은 예외적으로 7.4·8.0·8.1용 최소 소스 수정본도 제공했다. 업데이트 외에 완전한 대안은 없다고 발표했다.</p> <p contents-hash="a4c1a286e62e042f1890423990eb96ee5b2de16db1ce5881b5d7fd248aac6b64" dmcf-pid="6asXsl6byL" dmcf-ptype="general">이번 결함은 메모리 부족 같은 오류로 요청 처리가 중단될 때 PHP가 메모리를 안전하게 처리하지 못해 생긴다. 사이트 자체 프로그램에 문제가 없어도 PHP가 취약하면 공격받을 수 있다. 발견에 참여한 위즈는 워드프레스·드루팔·줌라 환경에서 로그인 없이 코드를 실행하는 데 성공했고, 서버 메모리에서 비밀번호·API 키 등을 빼낼 수 있다는 점도 확인했다. PHP 개발진은 아파치 웹서버의 ‘mod_php’ 환경이 사이트 프로그램이 돌기도 전에 공격받을 수 있어 위험이 가장 크다고 했다.</p> <figure class="figure_frm origin_fig" contents-hash="11b6c4648ce199a66537ec4205b667da464fabec2004f245963238d1087e01e6" dmcf-pid="PNOZOSPKTn" dmcf-ptype="figure"> <p class="link_figure"><img alt="PHP2셸 보안취약점을 통한 원격 메모리 정보 유출 개요. 위즈 블로그 발췌·번역" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/22/dt/20261022063518617fwpj.png" data-org-width="640" dmcf-mid="KrrGrC4qyc" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/22/dt/20261022063518617fwpj.png" width="658"></p> <figcaption class="txt_caption default_figure"> PHP2셸 보안취약점을 통한 원격 메모리 정보 유출 개요. 위즈 블로그 발췌·번역 </figcaption> </figure> <p contents-hash="55c3cbc55c7aaa0259d7b09107177761020040f49f8c59d9aff1fc00792ea254" dmcf-pid="QRjljDB3li" dmcf-ptype="general"><br> 앞서 오픈AI의 오픈소스 보안 지원 프로그램 ‘패치 더 플래닛’에 참여한 미국 보안업체 캘리프(Calif)는 ‘GPT-5.6 솔’ 모델을 활용해 결함을 발견하고 지난 8월 11일 PHP 측에 알렸다. 위즈도 ‘제미나이 4 아르곤’ 등을 활용해 독자적으로 찾아냈다.</p> <p contents-hash="03f628c370c9b863e8562139b333b3667a5669c068ef6ae355662adc712d2d03" dmcf-pid="xeASAwb0WJ" dmcf-ptype="general">타이 즈엉 캘리프 최고경영자(CEO)는 월스트리트저널(WSJ)에 “이 결함 유형이 오래전 문제로 지목됐지만 악용이 너무 어렵다고 여겨져 대부분 잊혀 있었다”고 설명했다. 위즈는 과거 정상급 연구팀이 수개월 걸렸을 작업을 AI 덕분에 연구자 한 명이 일주일 만에 끝냈다고 밝혔다.</p> <p contents-hash="0bf1efe0ac95fa7cf038e5f47ef439113cb26782135a957bdff0571596454c13" dmcf-pid="yGU6UBrNyd" dmcf-ptype="general">PHP 재단의 폴커 두쉬 보안엔지니어는 WSJ에 이번 사태를 2014년 전 세계 서버를 뒤흔든 ‘하트블리드’에 비유했다. 재단은 2024년 외부 보안 감사 후속 작업에서 문제의 단초를 발견했지만 호환성 우려와 인력 부족, 수정 방식을 둘러싼 합의 지연으로 작업이 수개월간 표류했다며 “구조적 실패”라고 인정했다.</p> <p contents-hash="eb1051e64af166cb46560e15bc2f107d9a61474bf4fd68856a2b6bd9a73e3453" dmcf-pid="WHuPubmjTe" dmcf-ptype="general">공개 과정도 순탄치 않았다. 당초 22일 공개 예정이었으나 지난 20일 취약점 번호가 온라인에 유출되자 PHP 측은 배포를 하루 앞당겼다. 재단은 미 보안업체 체인가드(Chainguard)가 공식 배포 6시간여 전 패치를 담은 소프트웨어(SW) 이미지를 먼저 내놓아 엠바고를 깼다고 비판했다. 댄 로렌크 체인가드 CEO는 미 보안 전문매체 레코디드퓨처뉴스에 “전날 밤부터 공격 시도를 목격해 내린 판단”이라고 해명했다.</p> <p contents-hash="04a1d7c1c49060ed86926ea8053864e38175f48de66b73e40bc6d4c9c954c62a" dmcf-pid="YX7Q7KsAhR" dmcf-ptype="general">각국은 비상 대응에 나섰다. 미 국가안보국(NSA)과 사이버보안·인프라보안청(CISA), 영국 국가사이버보안센터(NCSC), EU 컴퓨터비상대응팀(CERT-EU)은 즉시 패치가 어려우면 해당 시스템을 오프라인으로 전환하거나 인터넷에서 분리하도록 권고했다.</p> <p contents-hash="c1f8bd8809378151ce3f5daafce699bf829b7eae6f0880d0561f900ed29e91d3" dmcf-pid="GZzxz9OcyM" dmcf-ptype="general">미 보안 전문매체 사이버시큐리티다이브에 따르면 백악관은 미 정부가 지난 16일 결함을 통보받았으며, 연방기관들이 핵심 기반시설 운영자들의 패치 적용을 지원하고 있다고 밝혔다. 국내에서는 한국인터넷진흥원(KISA)이 21일 보안 업데이트 권고 공지를 냈다. 다카이치 사나에 일본 총리도 소셜미디어에 “모두 오늘 밤 조치해 달라”고 호소했다.</p> <p contents-hash="fdfc67b722555b4637b7973771c2a42a830a7f88b081a7c0bf9b1b5a3058fe21" dmcf-pid="H5qMq2IkSx" dmcf-ptype="general">로이터에 따르면 핀란드는 정부 공공 웹서비스를 일시 중단하면서 악용 시도가 확인되지 않은 예방 조치라고 설명했다. 독일·프랑스·벨기에·체코 정부 기관과 네덜란드 로테르담항, 여러 병원도 사이트를 닫았고, 덴마크에선 전국 학교 소통 플랫폼이 중단됐다. 위키백과를 운영하는 위키미디어재단도 일부 시스템을 내렸다.</p> <p contents-hash="4fd4a0a3a2b539631450a324a48a047b93b651fb6b9acc2ac9fea4c413d9c58f" dmcf-pid="X1BRBVCEyQ" dmcf-ptype="general">공격 시도도 포착되고 있다. 데인 크네히트 클라우드플레어 최고기술책임자(CTO)는 패치 공개 전부터 초기 공격이 나타나고 있다고 밝혔다. 보안업체 워치타워도 패치 배포 무렵 공격 시도를 탐지했지만, 당시 자사 관측 범위에서 성공한 시도는 확인하지 못했다고 시큐리티위크가 전했다. CISA는 21일 경보 발행 시점까지 자체적으로 악용을 관측하지 못했다면서도, PHP 프로세스가 셸을 실행하는 등의 이상 징후를 감시하라고 했다.</p> <p contents-hash="21eb8c62f22530283a86422eac43a426fa6f8dadb05b83d9e63c9d787850a2de" dmcf-pid="ZtbebfhDhP" dmcf-ptype="general">사이트 운영자는 워드프레스 같은 프로그램뿐 아니라 서버의 PHP 자체가 수정됐는지 확인해야 한다. 클라우드플레어는 사이트 프로그램이나 플러그인 업데이트만으로는 해결되지 않는다며, 호스팅 업체가 PHP를 관리한다면 업데이트를 요청하라고 했다. 로이터에 따르면 워드프레스 보안업체 워드펜스도 평소의 자동 업데이트로는 이번 수정이 적용되지 않는다고 지적했다. 캘리프의 타이 즈엉 CEO는 WSJ에 “누군가 패치에 AI를 돌려 공격 코드를 올리면 대혼란이 벌어질 것”이라고 경고했다.</p> <p contents-hash="b033a9ec30d1c88b160433e9f49688054983071d2343da1ff929937ec6f82e6b" dmcf-pid="5FKdK4lwT6" dmcf-ptype="general">팽동현 기자 dhp@dt.co.kr</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털타임스. 무단전재 및 재배포 금지.</p> 관련자료 이전 AI 간판 달면 R&D 예산 받나…정부 분류에 AI도 이견 10-22 다음 [단독]팩트체크 지원사업 공모 기준 변경 논란…野 "특정 단체 밀어주기" 의혹 10-22 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
