전세계 웹사이트 69% 사용 PHP 취약점 발견…정부 웹사이트 잇단 중단 작성일 10-22 19 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="7q0nJyMVuJ"> <figure class="figure_frm origin_fig" contents-hash="d3c4318083e55abe8769256caa96091033178dae680a0796158bab29bfa6822e" dmcf-pid="zBpLiWRfud" dmcf-ptype="figure"> <p class="link_figure"><img alt="전세계적으로 웹사이트 개발·운영에 널리 쓰이는 프로그래밍 언어 ‘PHP’의 웹홈페이지 전경. 왼쪽 하단에 “보안 권고: 치명적인 원격 코드 실행 취약점, 즉시 업데이트 하라”는 긴급 알람이 떠 있다. 2026.10.22 [서울=뉴시스]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/22/donga/20261022171124504kefr.jpg" data-org-width="1413" dmcf-mid="uWaZHQyO0i" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/22/donga/20261022171124504kefr.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 전세계적으로 웹사이트 개발·운영에 널리 쓰이는 프로그래밍 언어 ‘PHP’의 웹홈페이지 전경. 왼쪽 하단에 “보안 권고: 치명적인 원격 코드 실행 취약점, 즉시 업데이트 하라”는 긴급 알람이 떠 있다. 2026.10.22 [서울=뉴시스] </figcaption> </figure> <div contents-hash="969e5ffc4fe830bec88ba00d8f5166961d2aad26d39c6c359ec90d729f590eb4" dmcf-pid="qbUonYe40e" dmcf-ptype="general"> 사용자가 인터넷 쇼핑몰에서 상품을 주문하거나 홈페이지에 로그인할 때 서버에선 이용자 요청을 컴퓨터 언어로 바꿔 처리하는 프로그램이 작동한다. 이를 만드는 데 널리 쓰이는 프로그래밍 언어가 이번에 취약점이 공개된 ‘PHP’다. 이번 보안 취약점은 해커가 관리자 비밀번호 없이 외부에서 서버에 악성 명령을 실행할 수 있다는 점에서 위험성이 더욱 크다는 우려가 나온다. </div> <p contents-hash="321dbf610d673a701a0592895e6f03cb072b0d969afb3c368b4362f200bcc903" dmcf-pid="BKugLGd8UR" dmcf-ptype="general"><strong>● 30년간 웹사이트 떠받친 PHP…AI로 결함 확인</strong></p> <p contents-hash="bbbd6d8db7f98114819ea4d85225814c4707a8b8ff5ecf2229accb6ddc54343e" dmcf-pid="b97aoHJ60M" dmcf-ptype="general">이번에 발견된 취약점 2건은 PHP가 컴퓨터의 임시 저장 공간인 메모리를 제대로 관리하지 못해 생긴 결함이다. 메모리가 부족할 때 정보를 제대로 정리하지 못하거나, 이전 작업에서 사용한 정보를 잘못 처리하는 식이다. 이를 악용하면 인터넷 사용 고객의 개인정보가 유출되거나 홈페이지가 조작될 수 있다. </p> <p contents-hash="621eb35909769f2c53b303280713853a80636d1a55291d2984389029c023ca17" dmcf-pid="KU1eMl6bFx" dmcf-ptype="general">이 때문에 세계 각국 정부가 발빠르게 대처에 나섰다. 유럽은 PHP로 인한 해킹 피해를 막기 위해 정부와 주요 기관의 웹사이트를 잇달아 중단했다. 네덜란드는 유럽 최대 항만인 로테르담항 홈페이지와 한국의 ‘정부24’에 해당하는 행정서비스 사이트 ‘마인오버헤이트(MijnOverheid)’, 전자신원확인 서비스 ‘디지디(DigiD)’ 등이 예방 차원에서 운영을 멈췄다. 프랑스에서도 지방 행정기관과 파리의 일부 공공 웹사이트가 잠정 중단됐다. </p> <p contents-hash="d252f7eeb0173b1654fc07ace938384c9907ef188cb3c8155e1fdb10ce0f8834" dmcf-pid="9utdRSPKFQ" dmcf-ptype="general">미국 국가안보국(NSA)과 연방수사국(FBI)도 긴급 경고를 내고 즉각적인 보안 업데이트가 어렵다면 해당 시스템을 인터넷에서 분리하거나 운영을 중단하도록 권고했다. 한국 과학기술정보통신부는 22일 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 높였다. </p> <p contents-hash="0ba3a5e4870af369ace0f4f09f4e31a67b96fcc742dfdf21b160e0391f49a9a4" dmcf-pid="27FJevQ97P" dmcf-ptype="general">이처럼 PHP의 파급력이 큰 것도 높은 사용률 때문이다. PHP는 1994년 덴마크계 캐나다인 개발자 라스무스 러도프가 자신의 온라인 이력서 방문자를 기록하려고 만든 도구에서 출발했다. 이듬해 소스코드가 무료로 공개된 뒤 웹사이트 제작에 특화된 언어로 발전했다.</p> <p contents-hash="84753f26880e40218e4f1b8c913a81ddf6a37401b6197393b2a21ca47d9b350e" dmcf-pid="Vz3idTx2u6" dmcf-ptype="general">서버 프로그래밍 언어가 확인된 전 세계 웹사이트의 69.3%가 PHP를 사용한다. 이미 구축한 웹사이트를 다른 언어로 바꾸기도 쉽지 않다. 곽진 아주대 사이버보안학과 교수는 “이번 PHP 사태는 2014년 ‘하트블리드’, 2021년 ‘로그4셸’ 사태와 거의 동급”이라며 “한 번에 패치가 안 된다는 게 더 큰 문제”라고 말했다.</p> <p contents-hash="58818218acdbec3136ae5a0f5ece9d704fc8980590a9d16550fd71357fd07dac" dmcf-pid="fq0nJyMVU8" dmcf-ptype="general"><strong>● 하루 만에 확산된 공격 자료…AI발 해킹·방어 속도전</strong></p> <p contents-hash="1ba57e8ae8474b5b79503aa91b3e17e44463f026886932431ad269159c53b42b" dmcf-pid="4BpLiWRfF4" dmcf-ptype="general">이번 결함 중 하나는 이미 2년 전에 징후가 발견됐지만 사람이 이를 찾아내고 악용하긴 지나치게 어려울 것이란 분석으로 수정이 미뤄졌다. 문제는 순식간에 취약점을 찾아 공격하는 AI의 등장이다. 올 8월 미국 보안업체 캘리프가 해당 취약점을 찾아낸 것도 오픈AI의 AI 모델로 실제 공격 가능성을 확인했기 때문이다. </p> <p contents-hash="403e2beee818f31768083e2c50710ca76bf294c38086e2d1b76879c718d51c45" dmcf-pid="8bUonYe40f" dmcf-ptype="general">AI가 찾아냈지만, 과거와 다른 이번 사태의 심각성도 AI로 꼽힌다. 취약점을 보안한 수정 프로그램이 이미 배포됐지만 각 기업과 기관들이 자사 서버에 이를 적용하는 사이에 순식간에 AI발 해킹이 일어날 수 있기 때문이다. AI발 해킹과 방어의 속도전이 시작된 것이다. </p> <p contents-hash="a6a6f3de9b6e56e5a3e3cfba057c6d1799680c9b9f65cd8573f40e68f647a499" dmcf-pid="6KugLGd8pV" dmcf-ptype="general">게다가 PHP 취약점 공개 직후 취약점 정보가 빠르게 퍼졌다. 안랩이 22일 개발자 코드 공유 사이트 ‘깃허브’에 올라온 PHP 취약점 관련 코드·자료 100건을 분석한 결과, 96건이 전날 새로 등록됐다. 이 중 36건은 공격 관련 자료였다.</p> <p contents-hash="361764ed3c389d1f2772d60329da20f6c6e94d66075f06e4ed4c5d70b8544b0e" dmcf-pid="P97aoHJ6z2" dmcf-ptype="general">보안 업데이트 공개 과정에서도 유출 우려가 불거졌다. PHP 개발진은 취약점 정보가 유출되자 22일 예정했던 업데이트를 21일로 앞당겼다. 그런데 보안업체 체인가드가 수정 프로그램을 공식 발표보다 6시간 이상 먼저 공개해 해커들이 이를 통해 공격 방법을 분석할 시간을 줬다는 지적이 나왔다. 황석진 동국대 국제정보보호대학원 교수는 “AI를 활용하면 패치 전후의 차이를 빠르게 분석할 수 있어 단 몇 시간의 차이도 위험을 초래할 수 있다”고 말했다.</p> <p contents-hash="bb192b982bdefac68b546f1c3236320558eed28e0cb105d214f7083273bab631" dmcf-pid="QLRShKsA09" dmcf-ptype="general">수정 프로그램이 나와도 기업들은 기존 서비스와 충돌하지 않는지 확인해야 해 적용까지 시간이 걸릴 수 있다. 임종인 고려대 정보보호대학원 명예교수는 “공격하는 쪽에서는 바로 치고 들어오는데 방어하는 쪽에서는 시간이 걸릴 수밖에 없다”며 “AI 기술 발전에 비례해 사이버 보안과 내부 통제에 투자하지 않으면 큰 위기에 봉착할 수 있다”고 강조했다.</p> <p contents-hash="cd664f2faf6c989196735e6076e8fbada3beae5ce9d5e9165cd2934944284f02" dmcf-pid="xoevl9Oc7K" dmcf-ptype="general">전혜진 기자 sunrise@donga.com<br>한채연 기자 chaezip@donga.com<br>뉴욕=곽도영 특파원 now@donga.com<br> </p> </section> </div> <p class="" data-translation="true">Copyright © 동아일보. All rights reserved. 무단 전재, 재배포 및 AI학습 이용 금지</p> 관련자료 이전 막아도 다시 뜨는 누누티비·뉴토끼…구글 "본사에 차단 대책 요청" 10-22 다음 칩값 폭등·AI 해킹에 … 무너지는 콘솔시장 10-22 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
