[과학을읽다]AI가 찾아낸 인터넷의 치명적 약점…전 세계 비상 작성일 10-23 49 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">10년 넘게 숨은 PHP 취약점 2건 발견…서버 장악도 가능<br>AI가 공격 문턱 낮춰…사이버보안 체계 흔들</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="qlbltm9UjE"> <p contents-hash="277d33943a1bc4332ef285d07377a859fbeadcd3e5a2bd8c6210b797660a2738" dmcf-pid="BSKSFs2ujk" dmcf-ptype="general">우리가 매일 접속하는 인터넷에는 수십 년 동안 누구도 제대로 들여다보지 못한 약점이 숨어 있다. 수많은 개발자가 코드를 검토하고 보안 전문가들이 취약점을 찾아내지만, 복잡하게 얽힌 프로그램의 모든 오류를 발견하기는 어렵다. 더구나 오류를 발견하더라도 실제 공격에 이용하기 어려우면 위험성이 낮다고 판단하는 경우가 있었다. 인공지능(AI)이 이런 오랜 통념을 뒤흔들고 있다.</p> <div contents-hash="de11f884fae8f6eae1665b143b29e11c7f60e5db8021e5735eeef5aad7e25003" dmcf-pid="bv9v3OV7gc" dmcf-ptype="general"> <p>전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 치명적인 보안 취약점 두 건이 발견됐다. 10년 넘게 존재했던 결함을 AI의 도움으로 분석하고, 실제 웹서버를 장악할 수 있는 공격으로 구현했다는 점에서 충격을 주고 있다. 전문가들은 이번 사건이 단순한 소프트웨어 보안 사고를 넘어 AI 시대의 사이버공격과 방어 방식을 바꾸는 전환점이 될 수 있다고 경고한다.</p> </div> <figure class="figure_frm origin_fig" contents-hash="ef47bccec4a1fa727e0f4e25fed917167ab01915fadfd67b405149ca6c9c8d6c" dmcf-pid="KT2T0IfzoA" dmcf-ptype="figure"> <p class="link_figure"><img alt="인공지능(AI)을 활용한 보안 연구로 웹 프로그래밍 언어 PHP의 치명적인 취약점이 드러나면서 전 세계 인터넷 보안에 경고등이 켜졌다. 사진은 PHP의 메모리 안전성 결함과 웹사이트 보안 위협을 표현한 AI 생성 이미지." class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/23/akn/20261023082957680wgek.png" data-org-width="745" dmcf-mid="yZvoseHlkH" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/23/akn/20261023082957680wgek.png" width="658"></p> <figcaption class="txt_caption default_figure"> 인공지능(AI)을 활용한 보안 연구로 웹 프로그래밍 언어 PHP의 치명적인 취약점이 드러나면서 전 세계 인터넷 보안에 경고등이 켜졌다. 사진은 PHP의 메모리 안전성 결함과 웹사이트 보안 위협을 표현한 AI 생성 이미지. </figcaption> </figure> <p contents-hash="ae92ca2fa3be0621bc4b6f71d7a82e4d53067c05b83304f4735615395d910532" dmcf-pid="9yVypC4qaj" dmcf-ptype="general">23일 보안기업 위즈(Wiz)와 PHP 개발진의 발표에 따르면 이번 취약점은 'PHP2Shell'로 불린다. 국제 보안 취약점 식별번호는 CVE-2026-109618과 CVE-2026-109619다. 두 취약점 모두 국제 보안 취약점 평가체계(CVSS)에서 9.2점을 받았다. 최고 위험등급인 '치명적'에 해당한다.</p> <p contents-hash="f318337fa57d1cf2b01c4365032438d5802fb004c95a6da33af47f6785d07999" dmcf-pid="2WfWUh8BkN" dmcf-ptype="general">PHP는 인터넷의 보이지 않는 곳에서 작동하는 핵심 프로그래밍 언어다. 이용자가 홈페이지에 로그인하거나 온라인 쇼핑몰에서 물건을 주문할 때 웹서버가 정보를 처리하고 데이터베이스와 주고받는 기능을 수행한다. 워드프레스, 드루팔, 줌라 등 널리 사용되는 웹사이트 제작 도구의 기반이기도 하다.</p> <p contents-hash="b54ace9bd7c61aa8d47e876d46fceef451a878fa0a643ac8070c305b0d648b6c" dmcf-pid="VY4Yul6bja" dmcf-ptype="general">위즈는 전 세계 웹사이트의 약 70%가 PHP를 사용한다고 추정했다. 다만 이 수치가 곧 전체 웹사이트의 70%가 해킹에 노출됐다는 뜻은 아니다. 실제 위험은 PHP 버전과 서버 설정, 보안 패치 적용 여부에 따라 달라진다.</p> <p contents-hash="22846acbf601a938c4523676518ffd2ebabc4f49862b722cb4d1167e3f9e0960" dmcf-pid="fG8G7SPKNg" dmcf-ptype="general"><strong><strong><strong>메모리의 작은 오류가 서버 장악으로…AI가 뚫은 기술적 장벽</strong></strong></strong></p> <p contents-hash="44bcd971ad162ea1a199e413e19d7350f649cf2db992fbb5cfba48cf4687ab53" dmcf-pid="4SKSFs2uAo" dmcf-ptype="general">이번 취약점의 핵심은 컴퓨터가 메모리를 관리하는 방식에 있다. 프로그램은 작업을 수행하면서 필요한 데이터를 메모리에 저장하고, 작업이 끝나면 해당 공간을 해제한다. 문제는 메모리가 부족하거나 프로그램에 치명적인 오류가 발생했을 때다.</p> <p contents-hash="cd1e29b7f8796ee6739ae69c17c3541411dec40f41bcf0c299b5ec1863c33180" dmcf-pid="8v9v3OV7gL" dmcf-ptype="general">PHP는 처리 중인 요청이 설정된 메모리 한도를 초과하면 실행을 중단하고 사용하던 자원을 정리한다. 그런데 이 과정에서 일부 데이터가 완전히 초기화되지 않거나, 이미 해제된 메모리를 다시 참조하는 오류가 발생할 수 있다는 사실이 드러났다.</p> <p contents-hash="2a7ce0c2cf031320dc404d7336c2a99e65c8ae821b17fcbd3bcfb9f66cec6374" dmcf-pid="6T2T0Ifzcn" dmcf-ptype="general">대표적인 것이 '해제 후 사용(Use After Free)'이라는 메모리 안전성 결함이다. 프로그램이 더 이상 사용해서는 안 되는 메모리 공간을 다시 읽거나 쓰는 현상이다. 공격자가 이 과정을 악용하면 다른 요청에서 사용된 비밀번호나 인증정보를 읽어내거나 프로그램의 실행 흐름을 바꿀 가능성이 생긴다.</p> <p contents-hash="b69e510ca9a540692b1af20f0bd6aa467e8d66bca241559afe67f7dc58903850" dmcf-pid="PyVypC4qki" dmcf-ptype="general">일반적인 웹사이트 해킹이 로그인 기능이나 게시판 등 개별 프로그램의 허점을 노린다면 이번 취약점은 그 아래에서 작동하는 PHP 실행 엔진 자체를 겨냥한다. 웹사이트의 응용프로그램 코드에 별다른 문제가 없어도 실행 환경이 취약하면 공격받을 수 있다는 의미다.</p> <div contents-hash="43b14997f161b755c5554f35544ee7cb15b6729b2e8cedd63c5e115eec356feb" dmcf-pid="QWfWUh8BAJ" dmcf-ptype="general"> <p>위즈 연구진은 실제로 워드프레스와 드루팔, 줌라를 사용하는 시험 환경에서 로그인하지 않고도 서버에서 임의의 명령을 실행하는 데 성공했다. 서버 메모리에 남아 있는 비밀번호와 인증 토큰, 응용프로그램 인터페이스(API) 키 등 민감한 정보에 접근할 가능성도 확인했다.</p> </div> <figure class="figure_frm origin_fig" contents-hash="672e2dd7efb6131d5276f1f77d2da0439de1831227e53385c760ee8437823298" dmcf-pid="xY4Yul6bad" dmcf-ptype="figure"> <p class="link_figure"><img alt="보안 연구진이 PHP의 취약점을 이용해 웹서버에서 원격으로 명령을 실행하는 과정을 시연하고 있다. 연구진은 워드프레스와 드루팔, 줌라 환경에서 별도의 로그인 없이 서버 명령을 실행할 수 있음을 확인했다. 사진=PHP2Shell 연구진" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/23/akn/20261023082958927doqb.jpg" data-org-width="745" dmcf-mid="YHk8oKsAaY" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/23/akn/20261023082958927doqb.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 보안 연구진이 PHP의 취약점을 이용해 웹서버에서 원격으로 명령을 실행하는 과정을 시연하고 있다. 연구진은 워드프레스와 드루팔, 줌라 환경에서 별도의 로그인 없이 서버 명령을 실행할 수 있음을 확인했다. 사진=PHP2Shell 연구진 </figcaption> </figure> <p contents-hash="38d392bfccfb39113a91d5e2ba2f457ba1ad44bfd02ac637ccec14bea7008237" dmcf-pid="yRhRc8SrAe" dmcf-ptype="general">이기혁 중앙대 보안대학원 교수는 "이번 취약점은 PHP 엔진이 메모리 부족 같은 치명적 오류를 처리하는 과정에서 발생하는 메모리 안전성 결함"이라며 "개별 애플리케이션이 아니라 실행 환경 자체의 문제라는 점에서 하트블리드나 로그4셸에 견줄 만하다"고 설명했다.</p> <p contents-hash="c7dd84890fc8c8b999ab0e9d952642cd62730fef4ff6ffd54fae5ac591c5edf6" dmcf-pid="Welek6vmNR" dmcf-ptype="general">그렇다면 오랫동안 존재했던 결함이 왜 이제야 심각한 위협으로 떠올랐을까.</p> <p contents-hash="a2e422615a6e3778824ca19d332c8bcb16110f31cdb211d79640db6a3fc2ad6d" dmcf-pid="YdSdEPTsaM" dmcf-ptype="general">취약점이 존재한다는 사실과 이를 실제 공격에 이용할 수 있다는 것은 다른 문제다. 메모리 오류를 이용해 서버를 장악하려면 여러 결함을 연결하고, 프로그램이 데이터를 저장하고 해제하는 순서를 정밀하게 파악해야 한다. PHP 버전이나 서버 설정이 달라지면 공격 방식도 수정해야 한다.</p> <p contents-hash="a9175dc806cff67bc97b192e55fc686799f9ebe87494bbfc51112b9575c01fa6" dmcf-pid="GJvJDQyOax" dmcf-ptype="general">과거에는 이런 작업에 숙련된 보안 전문가의 오랜 분석과 반복적인 실험이 필요했다. 그러나 이번에는 AI가 코드 분석과 공격 가능성 검증, 실패 원인 파악, 공격 방식 수정에 활용됐다.</p> <p contents-hash="c740857d6c4f803d04f21086d76a64c3775a971644383d58235186936fc9b80b" dmcf-pid="HiTiwxWIAQ" dmcf-ptype="general">위즈 연구진은 구글 딥마인드의 제미나이와 오픈AI의 GPT 계열 모델 등을 활용했다고 밝혔다. 특히 AI를 이용해 서로 다른 서버 환경에 맞춰 공격 방식을 수정하고 검증하는 데 걸리는 시간을 크게 줄였다고 설명했다.</p> <p contents-hash="2115550224b6b18934f8477092152e2f4eb8e2dddc586ad4e5089e4e2b42b5d3" dmcf-pid="XnynrMYCNP" dmcf-ptype="general">김경곤 영국 런던 레이븐스번대 사이버보안과정 교수는 "이번 PHP 취약점 발견은 AI가 사이버보안 분야에 가져올 변화의 서막"이라며 "과거 숙련된 보안 전문가들이 오랜 시간 분석해야 했던 복잡한 취약점을 AI의 도움으로 훨씬 빠르게 발견하고 실제 공격 가능성까지 검증할 수 있게 됐다는 점이 중요하다"고 말했다.</p> <p contents-hash="c1d56147fa3d742cd905eef36338f5dc3c1189cc1c69407d2e6ce35560f3ebf0" dmcf-pid="ZLWLmRGhA6" dmcf-ptype="general">다만 AI가 인간의 개입 없이 모든 취약점을 스스로 찾아냈다고 보기는 어렵다.</p> <p contents-hash="2e6df9399ac5960f460f3237c15002a8df2b0e19bb61fdcc06475d08c0c4b0d3" dmcf-pid="5oYoseHla8" dmcf-ptype="general">레베카 존슨 호주 시드니대 AI 평가·거버넌스 전문가는 "AI가 혼자 PHP의 결함을 발견한 것은 아니다"라며 "보안 연구자가 어디를 살펴봐야 하는지 알고 있었고, 수십 년간 축적된 연구를 바탕으로 AI를 활용했다"고 지적했다. 그는 "이번 발견은 AI의 능력을 보여주지만, 이러한 시스템이 얼마나 안정적으로 작동하는지, 인간 전문가의 지도가 얼마나 필요한지는 별도로 검증해야 한다"고 강조했다.</p> <p contents-hash="e6d8ab8381ce76cd6d830c2b3a67726b6ec4d9513f0b9419b29fef5162cb8eb5" dmcf-pid="1gGgOdXSA4" dmcf-ptype="general"><strong><strong><strong>공격과 방어의 시간차 무너진다…인터넷 보안의 새 시험대</strong></strong></strong></p> <p contents-hash="b199e845e11dad180e4090e0a0eb3529953034da705f1ac89969780f995b898f" dmcf-pid="tNXNCi5Taf" dmcf-ptype="general">이번 사건이 남긴 가장 큰 문제는 사이버공격의 속도다. 기존에는 보안 연구자가 취약점을 발견하면 소프트웨어 개발사에 먼저 알리고, 개발사가 수정 프로그램을 만든 뒤 공개하는 절차가 일반적이었다. 취약점이 존재한다는 사실이 알려져도 공격자가 실제 공격 수단을 개발하기까지 상당한 시간이 필요하다는 전제가 깔려 있었다.</p> <p contents-hash="66e3de8baaa806bd229171988b2873acdb59eb5eb5bfa6445c40d22b8f4402fb" dmcf-pid="FjZjhn1yjV" dmcf-ptype="general">AI가 이 시간차를 좁히고 있다. 보안 전문가가 AI를 활용해 복잡한 결함을 빠르게 분석할 수 있다면 공격자 역시 같은 기술을 이용할 수 있기 때문이다. 과거에는 공격하기 어렵다는 이유로 상대적으로 위험성이 낮게 평가됐던 취약점도 실제 위협으로 바뀔 가능성이 커졌다.</p> <div contents-hash="5fd8cc920fcedac7963f4e683f14d92e4d66b2219737228163ab1c1bfbb7fa26" dmcf-pid="3A5AlLtWo2" dmcf-ptype="general"> <p>샤난 코니 호주 멜버른대 공학·정보기술학부 선임강사는 "과거에는 취약점의 존재를 미리 알리더라도 공격자가 구체적인 결함을 찾아내는 데 시간이 걸렸다"며 "AI가 이러한 상황을 바꾸면서 기존의 취약점 공개 절차가 여전히 적절한지 다시 생각해야 한다"고 지적했다.</p> </div> <figure class="figure_frm origin_fig" contents-hash="cec2c277c5eaa410d082a64500e726062d76ff648b14d59ce47bf9019373ba57" dmcf-pid="0c1cSoFYA9" dmcf-ptype="figure"> <p class="link_figure"><img alt="AI가 발견한 PHP 보안 취약점. AI 생성 이미지" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/23/akn/20261023083000246afoi.png" data-org-width="745" dmcf-mid="zV3DyNpXcD" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/23/akn/20261023083000246afoi.png" width="658"></p> <figcaption class="txt_caption default_figure"> AI가 발견한 PHP 보안 취약점. AI 생성 이미지 </figcaption> </figure> <p contents-hash="00e881d741166105a5722eed4dba489679d460e49a284083f03e7e5cb4ce20bd" dmcf-pid="pktkvg3GcK" dmcf-ptype="general">AI가 취약점 탐지와 공격 수단 개발을 동시에 가속하는 이른바 'AI 대 AI' 사이버보안 경쟁이 본격화할 수 있다는 전망도 나온다. 방어자는 AI를 활용해 소프트웨어의 결함을 먼저 찾아 수정해야 하고, 공격자는 같은 기술로 아직 수정되지 않은 시스템을 찾아낼 수 있다.</p> <p contents-hash="dca1e005db0c4ccdea4aec459803ac87316928b60c1633973d64e63a750a2f6b" dmcf-pid="UEFETa0Hjb" dmcf-ptype="general">더 큰 문제는 인터넷이 수많은 소프트웨어의 결합으로 작동한다는 점이다. 하나의 웹사이트에도 PHP를 비롯해 여러 프로그램과 외부 라이브러리, 데이터베이스, 서버 관리 도구가 사용된다. 이 가운데 하나라도 보안 취약점이 남아 있으면 전체 시스템이 위험해질 수 있다.</p> <p contents-hash="a46e82064148d500d71b73b228580fb2ade2526b06cf7dbbe6536022c538e35b" dmcf-pid="uD3DyNpXgB" dmcf-ptype="general">라하트 마수드 호주 뉴사우스웨일스대 사이버보안 선임강사는 "조직이 자체 웹사이트의 보안 패치를 완료했더라도 외부 소프트웨어나 관련 구성요소에 취약점이 남아 있다면 공격자가 이를 악용할 수 있다"며 "자신이 사용하는 모든 소프트웨어와 외부 공급업체의 보안 관리 상태까지 파악해야 한다"고 강조했다.</p> <p contents-hash="153d03e05c9ec25c020ad1a673279730e8d9c21fe47115d9a3ee6b5ea0ddc3fc" dmcf-pid="7w0wWjUZaq" dmcf-ptype="general">실제 대응도 시작됐다. PHP 개발진은 지난 21일 취약점을 수정한 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전을 공개하고 즉각적인 업데이트를 권고했다. 한국인터넷진흥원(KISA)도 같은 날 보안 공지를 통해 영향을 받는 버전의 업데이트를 당부했다.</p> <p contents-hash="e7a0a2306146ec473eea82e3e5e70a4009786f86e5b4452fc21df7c1cdc656a9" dmcf-pid="zrprYAu5oz" dmcf-ptype="general">문제는 오래된 시스템이다. PHP 8.1 이하 버전은 공식 보안 지원이 종료돼 최신 보안 패치를 적용하기 어려운 경우가 있다. 일부 운영체제 공급업체가 별도의 수정 프로그램을 제공하기도 하지만, 그렇지 않은 시스템은 지원되는 버전으로 전환해야 한다.</p> <p contents-hash="1a05e1ffc5b77d132345197f5c88661ea8aa98b8bbb26813f08516b79c4cebe5" dmcf-pid="qmUmGc71c7" dmcf-ptype="general">국내 공공기관과 지방자치단체, 학교 홈페이지처럼 외부 업체에 개발과 유지보수를 맡기는 시스템도 점검 대상이다. 오래된 홈페이지가 어떤 버전의 PHP를 사용하는지조차 제대로 관리되지 않는다면 보안 패치가 나와도 즉시 대응하기 어렵다.</p> <p contents-hash="f4b9bc3c4c811a7cfeeb5c1beb881a71b71c894d3346db68591db939bd956ea5" dmcf-pid="BsusHkztau" dmcf-ptype="general">이 교수는 "국내에는 유지보수가 끝난 외주 사이트나 지자체·학교 홈페이지에 지원이 종료된 구버전 PHP가 방치된 경우가 많아 특히 우려된다"며 "패치 대응 주기를 일 단위로 단축해야 한다"고 강조했다.</p> <p contents-hash="458974baf379f7dd3914f8a30c89a5b910e17a8361dba3019f7bfaefff8e22eb" dmcf-pid="bO7OXEqFkU" dmcf-ptype="general">그렇다고 PHP를 사용하는 모든 웹사이트에서 실제 해킹 피해가 발생한 것은 아니다. 일부 공격 시도가 관측됐지만 전체 침해 규모는 확인되지 않았다. 홈페이지 운영을 일시 중단한 기관 역시 해킹을 당해서가 아니라 보안 패치를 적용하기 위한 예방 조치였을 수 있다.</p> <p contents-hash="b4b649ec431eeb118be4ffa0a8249760771f1bc1626dc626648accf1952674a7" dmcf-pid="KIzIZDB3ap" dmcf-ptype="general">이번 사건은 2014년 인터넷 암호화 통신의 기반인 오픈SSL에서 발견된 '하트블리드', 2021년 자바 기반 로그 기록 도구에서 발견된 '로그4셸' 취약점을 떠올리게 한다. 두 사건 모두 널리 사용되는 공통 소프트웨어의 작은 결함이 전 세계 인터넷 서비스에 영향을 줄 수 있다는 사실을 보여줬다.</p> <p contents-hash="9cfddfabe0162e89b6bdc65fe4907d89724a4d3b7cdf694a1ff8c4ab90802de7" dmcf-pid="9CqC5wb0o0" dmcf-ptype="general">PHP2Shell은 여기에 새로운 질문을 던진다. AI가 그동안 공격하기 어렵다고 여겨졌던 취약점까지 실제 공격 수단으로 바꿀 수 있다면 기존 보안체계는 얼마나 빨리 대응할 수 있을까.</p> <p contents-hash="6575580eee5e03f52259fe990215f43b2395768e32113c98ef3231d23238bb37" dmcf-pid="2hBh1rKpc3" dmcf-ptype="general">존슨 전문가는 "진짜 위험은 취약점을 공격에 이용할 수 있게 되는 속도와 조직이 스스로를 보호하는 속도 사이의 격차가 커지고 있다는 것"이라며 "AI가 결함을 찾아 수정 프로그램 개발을 도울 수는 있지만, 실제로 패치를 적용하기 전까지는 누구도 보호받지 못한다"고 지적했다.</p> <p contents-hash="e00f43617c96fdee53a049c410109fa1dd4a63c37456a3613f48df84aa0765f9" dmcf-pid="Vktkvg3GjF" dmcf-ptype="general">김 교수는 "앞으로 사이버보안의 경쟁력은 AI 기술 자체보다 이를 얼마나 전략적으로 활용하고 통제할 수 있는지에 달려 있을 것"이라고 말했다.</p> <p contents-hash="b9f43abf5a7ad90ef7b31bcf7b62fadfb4e6644eb20faed80a29950b6aa0d061" dmcf-pid="fEFETa0Hkt" dmcf-ptype="general">김종화 기자 justin@asiae.co.kr</p> </section> </div> <p class="" data-translation="true">Copyright © 아시아경제. 무단전재 및 재배포 금지.</p> 관련자료 이전 "T다이렉트 1차 예약 1분 만에 끝"…SKT, '아이폰 듀오' 개통 개시 10-23 다음 통신3사 미환급금 5년째 30억원 안팎…63만건 그대로 쌓였다 10-23 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
