AI가 찾은 ‘웹의 뿌리’ 결함에…유럽 정부 사이트 줄줄이 셧다운 작성일 10-22 55 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">전 세계 웹사이트 70% 쓰는 PHP서 취약점<br>오픈AI 모델로 찾았지만 공개 과정서 유출<br>美 NSA “패치 못하면 오프라인 전환” 강수<br>PHP 재단 “2년 전 징후 알고도 못 고쳐”</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="uyDgAh8BTh"> <figure class="figure_frm origin_fig" contents-hash="993ed3c2be9a0aa780de03afb41dd72684bc7f3def22e7c1ed6b0f4303f733e6" dmcf-pid="7Wwacl6bvC" dmcf-ptype="figure"> <p class="link_figure"><img alt="AI가 찾은 ‘웹의 뿌리’ 결함에…유럽 정부 사이트 줄줄이 셧다운 [그림=챗GPT]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/22/mk/20261022083002470jufi.png" data-org-width="700" dmcf-mid="UtlwOHJ6Cl" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/22/mk/20261022083002470jufi.png" width="658"></p> <figcaption class="txt_caption default_figure"> AI가 찾은 ‘웹의 뿌리’ 결함에…유럽 정부 사이트 줄줄이 셧다운 [그림=챗GPT] </figcaption> </figure> <div contents-hash="b22ed80806405cffefb561229077c53edaf5dab5bf50c1651ff544ab7e4244f0" dmcf-pid="zYrNkSPKyI" dmcf-ptype="general"> 인공지능(AI)이 찾아낸 프로그래밍 언어 PHP의 치명적 보안 결함이 전 세계 웹 인프라를 흔들었다. 유럽 각국 정부는 공공 웹사이트를 선제적으로 닫았다. 미국 국가안보국(NSA)은 즉시 패치할 수 없으면 시스템을 오프라인으로 돌리라고 권고했다. AI가 10년 넘게 묻혀 있던 결함을 찾아낸 속도만큼 공격 수단이 만들어지는 속도도 빨라졌다는 점이 드러났다는 분석이 나온다. </div> <div contents-hash="0a973c9cf4583257a37c230e811056bdec4e2142c077bbf838d5b2309b332fba" dmcf-pid="qGmjEvQ9WO" dmcf-ptype="general"> <div> <strong>AI가 10년 묵은 보안 결함 찾아내</strong> </div>21일(현지시간) 로이터와 블룸버그 등에 따르면 PHP 개발진은 이날 ‘PHP2셸(PHP2Shell)’로 불리는 취약점 두 건을 수정한 긴급 보안 업데이트를 내놨다. 두 결함은 국제 취약점 평가 기준(CVSS 4.0)으로 10점 만점에 9.2점인 ‘치명적’ 등급이다. </div> <p contents-hash="664903d94b4993858acdf0d5e6cf0053fd549915bb6e704aa74b3ec74dcde46a" dmcf-pid="BHsADTx2hs" dmcf-ptype="general">로그인이나 인증 없이 외부에서 서버에 임의 코드를 실행할 수 있는 원격 코드 실행(RCE) 취약점이다. 원인은 PHP 엔진의 메모리 부족 처리와 오류 처리 과정에 있는 결함이다. 웹 기술 분석업체 ‘더블유쓰리텍스(W3Techs)’에 따르면 사용 언어가 식별되는 웹사이트의 약 75%가 PHP를 쓴다. 워드프레스와 미디어위키, 드루팔 등 주요 웹 플랫폼도 PHP를 기반으로 돌아간다.</p> <p contents-hash="617ba0594406942b14f78f416d560d1b87d15cb857e16fdfd71835566c95af98" dmcf-pid="bXOcwyMVWm" dmcf-ptype="general">결함을 찾는 데는 AI가 동원됐다. 오픈AI에 따르면 보안 기업 캘리프가 오픈AI의 ‘GPT-5.6 솔(Sol)’ 모델로 치명적 결함을 찾아냈다. 구글 계열 보안 기업 위즈도 두 결함을 독자적으로 발견해 신고했다.</p> <p contents-hash="39d88f0503bfe71f0d753f05a9b59442b0c0541963930e1470b244c5bc372ed5" dmcf-pid="KZIkrWRfhr" dmcf-ptype="general">PHP 재단 기록을 보면 캘리프는 7월 30일 PHP 코드 감사에 착수했고, 8월 11일 원격 코드 실행 결함을 보고했다. 같은 날 오픈AI도 동일한 근본 원인을 별도로 보고했다. 위즈는 구글 ‘제미나이4 아르곤’과 GPT-5.6 솔을 함께 썼다고 밝혔다. 전문가가 수개월 걸려야 할 공격 코드 개발을 연구원 한 명이 약 일주일 만에 끝냈다는 설명이다. 오픈AI는 “최근 가장 파급력이 큰 보안 문제 중 하나”라며 “AI의 결함 발견 능력이 공격 도구를 빠르게 만드는 데도 쓰일 수 있다”고 경고했다.</p> <div contents-hash="03d24d4b4d9be3d5ab9c563cb1340ca4bda586f0e37f2ed725ad14a4bb2c1e1a" dmcf-pid="95CEmYe4vw" dmcf-ptype="general"> <div> <strong>패치 조기 유출에 방어망도 흔들</strong> </div>사태를 키운 것은 공개 과정이었다. PHP 개발진은 당초 22일 패치를 배포할 계획이었다. 그러나 20일 온라인 게시판에 취약점 식별번호와 공개 일정이 유출되자 배포를 하루 앞당겨 21일 오후 2시(세계협정시·한국시간 오후 11시)로 잡았다. </div> <p contents-hash="a0cf0f395f822f9847f5c11e9e2b5b70e545e978ec26ba015fecb3d0d5f5791e" dmcf-pid="2G8B2dXSTD" dmcf-ptype="general">같은 날 밤에는 발견자인 캘리프가 실제 대상에 공격이 통하는 장면을 담은 개념증명(PoC) 영상을 실수로 올렸다가 지웠다. 이미 퍼진 사본이 이튿날 공개 공격 코드 개발을 앞당겼다는 것이 PHP 재단의 설명이다. 이어 21일 오전 7시 41분(세계협정시)에는 보안 기업 체인가드가 공식 배포보다 6시간 넘게 앞서 수정된 PHP 이미지를 공개했다. 체인가드는 다른 배포사처럼 패치를 미리 받은 상태였다. 보안 패치가 먼저 공개되면 공격자는 수정 전후 코드를 비교해 취약점을 역추적할 수 있다. PHP 재단은 체인가드의 조기 공개를 두고 “여러 당사자가 수주간 공동 공개를 위해 해온 작업을 무시했다”고 비판했다. 댄 로렌크 체인가드 최고경영자(CEO)는 여러 보안 업체로부터 실제 공격이 시작됐다는 보고를 받고 조기 배포를 결정했다고 해명했다. 반면 PHP 재단은 당시 작동하는 공개 공격 코드를 확인하지 못했다는 입장이다.</p> <p contents-hash="6d613441dfcad270179807efad0b0a58c9dc04d3cbbea3db3557d370260fe2f7" dmcf-pid="VH6bVJZvWE" dmcf-ptype="general">PHP 재단 스스로의 허점도 드러났다. 재단은 두 결함 가운데 하나의 징후를 2024년 외부 보안 감사 대응 과정에서 이미 포착했다고 공개했다. 하지만 수정 방식에 합의하지 못해 작업이 수개월간 멈췄다고 밝혔다. 재단은 이를 “구조적 실패”라고 인정하고, 보안 관련 의사결정을 다수결 방식으로 바꾸고 엔지니어를 충원했다.</p> <div contents-hash="a18b92c8426a789366ec8fa9bc064b72a610bbb6ff0d28b6105c57d769a8f9dd" dmcf-pid="fXPKfi5Tyk" dmcf-ptype="general"> <div> <strong>유럽 정부 사이트 줄줄이 중단…150만 서버 여전히 위험</strong> </div>파장은 즉각 공공 영역으로 번졌다. 로이터에 따르면 네덜란드에서는 국가사이버보안센터가 자체 웹사이트를 내렸고 로테르담항과 정부 포털, 5대 정당, 일부 병원 사이트도 멈췄다. 핀란드 정부 IT 서비스 기관과 덴마크 지방자치단체 IT 기업도 서비스를 중단했다. 덴마크에서는 전국 학교 소통 플랫폼까지 영향을 받았다. 프랑스 내무부는 도청과 지방 행정 웹사이트를 일시 차단했다. 벨기에와 캐나다 정부도 일부 사이트를 내렸다. 위키피디아 운영기관도 일부 시스템을 중단했고 인터넷 아카이브도 한때 서비스를 멈췄다. NSA는 X를 통해 “즉시 업데이트가 불가능하면 완전히 조치될 때까지 시스템을 오프라인으로 전환할 것을 권고한다”고 밝혔다. </div> <p contents-hash="eb605547ba9c16bd6e7ce5db666f37367d18a968e3393be8ac8d806d040e6370" dmcf-pid="4ZQ94n1yyc" dmcf-ptype="general">패치가 나온 뒤에도 위험은 남아 있다. 인터넷 분석업체 센시스에 따르면 PHP 구동이 확인된 서버 약 260만대 가운데 약 150만대가 수정판이 제공되지 않는 버전을 쓰고 있다. PHP 8.1 이하 버전은 공식 지원이 끝나 정식 수정판이 없다. 개발진은 7.4~8.1 버전용으로 최소한의 소스 수정 코드만 내놨다. 클라우드플레어는 초기 공격 시도가 나타나 방어 규칙을 계속 갱신하고 있다고 밝혔다.</p> <p contents-hash="f6dc7ea9551f922628582ce266cacaf6724f6d868c5ef71dd3241226f3f454a1" dmcf-pid="85x28LtWSA" dmcf-ptype="general">한국인터넷진흥원(KISA)은 21일 밤에야 보안 업데이트 권고를 냈다. 정부 차원의 공공기관 점검 지시는 22일 오전 현재 확인되지 않았다.</p> <p contents-hash="e2157afb35337bc20f4f08158b5d3ea6a27cbaa72f4c543ced593b2053fee607" dmcf-pid="61MV6oFYCj" dmcf-ptype="general">오픈AI는 이날 AI가 찾아낸 취약점을 공동 대응하는 절차를 새로 제안했다. 공개 유예 기간을 얼마나 둘지, 긴급 패치를 어떻게 배포할지에 대해서도 업계 의견을 공개적으로 구했다. [실리콘밸리 원호섭 특파원]</p> </section> </div> <p class="" data-translation="true">Copyright © 매일경제 & mk.co.kr. 무단 전재, 재배포 및 AI학습 이용 금지</p> 관련자료 이전 멜론 ‘글로벌-K 차트’ 301만명 찾았다…이용자 85% 해외 팬 10-22 다음 “OLED 얼마나 오래갈까?”…KAIST, 자기장으로 수명 예측 성공 10-22 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
