“20년 숨은 보안 결함도 AI가 찾는다”… PHP 사태로 본 ‘버그마게돈’ 공포 작성일 10-24 55 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">PHP에서 치명적 보안 위협 발견… 21일 긴급 패치 배포<br>2024년 결함 발견했지만 무대응… AI가 해킹 가능성 입증<br>AI로 취약점 대량 발견하는 ‘버그마게돈’ 본격화</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="53W6f1oMa2"> <p contents-hash="1eb03bcb0e98d8daa965a4dc663ad02f0526cae1ff346d20f52116e4758de85b" dmcf-pid="1SDU3C4qg9" dmcf-ptype="general">전 세계 웹사이트를 위협하는 프로그래밍 언어 ‘PHP’의 치명적인 보안 취약점이 인공지능(AI)을 통해 발견되면서 이른바 ‘버그마게돈(버그+아마게돈)’ 우려가 커지고 있다. AI가 장기간 발견되지 않았거나 악용 가능성이 확인되지 않았던 취약점까지 찾아내면서 사이버 공격과 방어가 ‘AI 속도전’으로 바뀌고 있다. 이에 공격을 받은 뒤 대응하는 기존 방식에서 벗어나 AI를 활용한 신속하고 선제적인 대응 중심으로 보안 패러다임을 전환해야 한다는 지적이 나온다.</p> <figure class="figure_frm origin_fig" contents-hash="68664c950af5695d3358c0cc9750799c67098abfa55e5ba7ec1c149a8e26a855" dmcf-pid="tvwu0h8BgK" dmcf-ptype="figure"> <p class="link_figure"><img alt="일러스트=챗GPT" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/24/chosunbiz/20261024060239134dlkg.jpg" data-org-width="1672" dmcf-mid="HtPQ8Faeg4" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/24/chosunbiz/20261024060239134dlkg.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 일러스트=챗GPT </figcaption> </figure> <p contents-hash="fab261479ba6fa3d620aeb602607ee3dff13b904d72b6f408d1e4463f63910e9" dmcf-pid="FTr7pl6bgb" dmcf-ptype="general"><strong>◇ 2년 전 발견된 PHP 결함… AI가 일주일 만에 공격 재현</strong></p> <p contents-hash="794cb68ba1b22f8fe6c600609d283c7999b0dfe98e70f90c47a788cfee1ce4e3" dmcf-pid="3ymzUSPKoB" dmcf-ptype="general">24일 보안업계에 따르면 지난 21일 공개된 PHP의 치명적인 보안 취약점 ‘PHP2Shell’(CVE-2026-109618·CVE-2026-109619)은 AI를 활용한 연구 과정에서 실제 악용 가능성이 입증됐다. PHP는 워드프레스 등 웹사이트 제작에 널리 쓰이는 프로그래밍 언어다. 이번 취약점은 별도의 로그인 없이 서버에서 악성코드를 실행할 수 있는 결함으로, 개별 웹사이트의 보안을 강화했더라도 공격에 노출될 수 있다.</p> <p contents-hash="0e971d76e9b79d484662566b256bfafc7a640cd0016c5d49c4c6a7333a83eb34" dmcf-pid="0WsquvQ9kq" dmcf-ptype="general">이번 취약점은 2024년 PHP 재단이 외부 보안 감사를 진행하는 과정에서 처음 포착됐다. 당시 개발진은 메모리 부족(OOM) 상황에서 발생하는 오류를 확인했지만 구체적인 공격 방법은 찾아내지 못했다. 기존 프로그램과의 호환성 문제, 의사결정 지연 등이 겹치면서 패치도 미뤄졌다.</p> <p contents-hash="9c29868315cc77304d752fd7c8c57c9802be8460f11582c75465b8f5bd47e59c" dmcf-pid="pYOB7Tx2kz" dmcf-ptype="general">상황이 바뀐 것은 올해 8월이다. 미국 보안업체 캘리프는 오픈AI의 AI 모델 ‘GPT-5.6 솔’로 PHP 코드를 분석해 로그인 없이 서버 명령을 실행하는 방법을 찾아냈고, 지난 8월 11일 개발팀에 보고했다. 구글의 보안업체 위즈도 ‘제미나이 4 아르곤’과 ‘GPT-5.6 솔’ 등을 활용해 같은 취약점을 독립적으로 발견했다. 이후 워드프레스 등에서 공격을 재현하고 결과를 보고했다.</p> <p contents-hash="e477a189555d14a275497f2e0c502babb4404ccdb90ab14a088f689342cf9365" dmcf-pid="UGIbzyMVA7" dmcf-ptype="general">위즈는 지난 21일 기술 보고서에서 “과거 최고 수준의 보안 연구팀이 수개월간 수행해야 했던 작업을 연구원 한 명이 일주일 만에 완료했다”고 밝혔다. AI가 실제 해킹 방법을 개발하는 데 필요한 시간과 전문성의 장벽까지 낮춘 셈이다.</p> <p contents-hash="a56fe773834b632ec4df13be940c2eac233d34de84e6ff578588a62dc6a40c9f" dmcf-pid="uHCKqWRfgu" dmcf-ptype="general">PHP 재단은 두 달여간 패치 개발과 검증을 거쳐 지난 21일 긴급 보안 업데이트를 배포했다. 이용자는 취약점이 수정된 최신 버전으로 업데이트해야 한다.</p> <p contents-hash="3de89514ffee1813a0b652748af9a03d1d3697019ddfda334ab47cc181935c81" dmcf-pid="7Xh9BYe4kU" dmcf-ptype="general"><strong>◇ 수십 년 묵은 결함도 찾아낸 AI… 해킹·방어도 ‘AI 속도전’</strong></p> <p contents-hash="4d48adcb14556b10949d0edbe3fa36dcb9063ebdbde75b4376d9b19d33967ebd" dmcf-pid="zZl2bGd8cp" dmcf-ptype="general">보안업계에서는 이번 PHP 사태가 AI가 사이버 공격과 방어 양쪽에 활용될 수 있음을 보여주는 대표적인 사례라고 평가한다. 과거에는 보안 전문가들이 직접 소스코드를 분석하거나 분석 도구로 오류를 찾아냈다면, 이제는 AI가 복잡한 결함을 찾아내고 실제 공격 방법까지 개발하는 수준에 이르렀기 때문이다.</p> <p contents-hash="f3035b76afc6e6c99d23a91f962a391c10581f037e3fd5c1e8a3ebf23e94378d" dmcf-pid="q5SVKHJ6o0" dmcf-ptype="general">올해 들어 AI를 활용해 오래된 취약점을 찾아내는 사례도 잇따르고 있다. 앤트로픽은 지난 2일 AI 모델 ‘클로드 미토스 프리뷰’ 등을 활용해 591개 오픈소스 프로젝트에서 취약점 6157건을 발견했다고 밝혔다. 오픈BSD와 프리BSD에서는 각각 27년, 17년간 존재했던 결함도 확인됐다. 지난 6월 보안업체 뎁스퍼스트도 AI로 멀티미디어 소프트웨어 FFmpeg의 코드 약 150만줄을 분석해 취약점 21건을 찾아냈다. 일부는 20년 넘게 방치된 결함이었다.</p> <figure class="figure_frm origin_fig" contents-hash="163009e01a35483e2bf3fe0af8751b7c1dbe795428b1695fc10a157378ba83d1" dmcf-pid="B1vf9XiPN3" dmcf-ptype="figure"> <p class="link_figure"><img alt="AI 해커 일러스트 이미지. /연합뉴스" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/24/chosunbiz/20261024060240435tapl.jpg" data-org-width="4000" dmcf-mid="ZtHx63NdoV" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/24/chosunbiz/20261024060240435tapl.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> AI 해커 일러스트 이미지. /연합뉴스 </figcaption> </figure> <p contents-hash="c555ba53617856c0ba1ac79bed1a145b62bb475fec0368bc091fd50c6bcec670" dmcf-pid="btT42ZnQoF" dmcf-ptype="general">문제는 AI를 활용해 발견한 취약점을 공격자가 먼저 악용할 경우다. 특히 공격자가 먼저 취약점을 발견하면 패치가 나오기도 전에 피해가 확산할 수 있다. 실제 아마존 위협 인텔리전스는 지난 17일 PHP2Shell 공격 시도를 포착했다. 공식 패치 공개보다 나흘 앞선 시점이다. 다만 공격자의 AI 활용 여부나 실제 서버 침해 성공은 현재 확인되지 않았다.</p> <p contents-hash="fef1a7216978cbde5f1bae5e3f1afbc6999a4d720c6ba008625481fbbe759778" dmcf-pid="KFy8V5Lxkt" dmcf-ptype="general"><strong>◇ ‘버그마게돈’ 현실화… 선제적 보안 체계 전환 시급</strong></p> <p contents-hash="f6d3c758cefa6e9ffe1f5b6c125f20f862e948deb5e5fb3c90fdff5e2d9a7fe4" dmcf-pid="9PBcN4lwk1" dmcf-ptype="general">AI가 보안 결함을 대량으로 찾아내며 ‘버그마게돈’에 대한 우려도 커지고 있다. 버그마게돈은 소프트웨어 결함을 뜻하는 ‘버그’와 대재앙을 의미하는 ‘아마게돈’의 합성어다. AI가 취약점을 찾아내고 공격 방법을 개발하는 속도가 빨라지면서 기업과 개발자의 보안 대응 능력이 이를 따라가지 못하는 상황을 일컫는다.</p> <p contents-hash="562fae5d2733d85b46d648778ba2e363a69947c17613079fe111bf4d1fc773ad" dmcf-pid="2Qbkj8Sra5" dmcf-ptype="general">실제 PHP 재단은 지난 7월 1일 이후 취약점 15건에 고유 식별번호(CVE)를 부여해 공개했으며, 잘못됐거나 중복된 신고도 100건 넘게 검토했다고 밝혔다. AI가 취약점 발견을 가속화 하면서 이를 검증하고 수정하는 부담도 커진 것이다.</p> <p contents-hash="ef2df3b50d494298e01ab7a0f07f9cf6332a83acecefab9af1cd0e9316ed2b04" dmcf-pid="VxKEA6vmAZ" dmcf-ptype="general">보안업계에서는 취약점이 공개된 뒤 대응하는 기존 방식만으로는 공격 확산을 막기 어려울 것으로 보고 있다. AI가 취약점 발견부터 공격 코드 개발, 보안 패치까지 수행하면서 사이버 보안이 공격자와 방어자 간 ‘속도전’으로 바뀌고 있다는 것이다.</p> <p contents-hash="7bcdd3cf31d1cf0a65768159f7febc40f44920ceb1af9ec87312acbce5b73d34" dmcf-pid="fM9DcPTsaX" dmcf-ptype="general">임종인 고려대 정보보호대학원 명예교수는 “과거에는 공격을 받은 뒤 취약점을 수정하는 사후 대응이 중심이었다면, 이제는 AI를 활용해 공격자보다 먼저 취약점을 찾아내고 패치하는 선제적 방어로 보안 패러다임이 바뀌고 있다”며 “AI가 복잡한 공격 코드뿐 아니라 이를 막는 패치 코드까지 만들어내는 만큼 누가 먼저 취약점을 발견하고 대응하느냐가 중요해졌다”고 말했다.</p> <p contents-hash="a84b76bf9c78a6c4a8e36ed4a28b9b50ca41a18b90513c17f77684b1da767cbb" dmcf-pid="4R2wkQyOoH" dmcf-ptype="general">이어 “자체 AI 보안 시스템을 구축하기 어려운 중소기업은 클라우드 기반 AI 보안 서비스를 활용할 필요가 있다”며 “정부가 추진 중인 사이버보안 특화 AI 파운데이션 모델을 통해 저렴한 비용으로 제공한다면 중소기업의 대응 역량도 높일 수 있을 것”이라고 덧붙였다.</p> <p contents-hash="567b3f53232b7b2861d9c458af2053a4c07ba70f938654d5b2bc796f0ea6794d" dmcf-pid="8eVrExWIjG" dmcf-ptype="general">- Copyright ⓒ 조선비즈 & Chosun.com -</p> </section> </div> <p class="" data-translation="true">Copyright © 조선비즈. 무단전재 및 재배포 금지.</p> 관련자료 이전 [겜별사] 귀여운 고양이들의 화끈한 액션…진입 장벽 낮춘 '행성파괴 냥냐냥' 10-24 다음 [인터뷰] 이중연 KTNF 대표 “AI 시대 서버도 국산화해야… 공급망 직접 보증·관리 필요” 10-24 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
