인간 해커도 못 찾던 결함…AI가 뚫자 전 세계 웹사이트 ‘셧다운’[허진의 테크토닉] 작성일 10-25 56 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">리듬감 있게 읽히는 쉬운 테크⑮<br>전 세계 서버실이 멘붕에 빠진 이유<br>외주 준 홈페이지 무사할 수 있을까</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="4IHcGAB3Tu"> <figure class="figure_frm origin_fig" contents-hash="59b78134e96db0dad2f762e57934e54de6bef7c961c72ef7d64136c2fddee0e1" dmcf-pid="8CXkHcb0TU" dmcf-ptype="figure"> <p class="link_figure"><img alt="챗GPT로 생성" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/25/ked/20261025082943623lmes.jpg" data-org-width="1200" dmcf-mid="ZJ0O3s8BSd" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/25/ked/20261025082943623lmes.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 챗GPT로 생성 </figcaption> </figure> <p contents-hash="ed764f6a2e6583757ecacbab94c253cfc05d4f3b7b166eca327f7c1021b676f5" dmcf-pid="6hZEXkKpTp" dmcf-ptype="general">밤사이 회사 홈페이지가 멀쩡한지 확인해 보셨나요. 지난 21일(현지시간) 전 세계 서버 관리자들이 동시에 같은 일을 했습니다. PHP 개발팀이 긴급 보안 업데이트를 출시했기 때문입니다. 고쳐진 구멍은 두 개입니다. 이름은 ‘PHP2Shell’. 심각도 점수는 10점 만점에 9.2점입니다. 보안 업계에서 9점대는 “지금 당장”이라는 뜻입니다.</p> <p contents-hash="c47cb6a93a16b21adec1f40725b46767ec44c268b1817d3b978f69ce62ee9420" dmcf-pid="Pl5DZE9UC0" dmcf-ptype="general">PHP가 뭔지부터 짚고 가겠습니다. 홈페이지와 온라인 쇼핑몰, 게시판, 관리자 페이지를 만드는 데 쓰는 프로그래밍 언어입니다. 국내에서 많이 쓰는 워드프레스와 그누보드도 PHP 위에서 돌아갑니다. 사용 언어를 알아낼 수 있는 웹사이트의 약 75%가 PHP를 씁니다. 전체 웹사이트의 43%가 쓰는 워드프레스도 PHP 기반입니다.<br>이 결함은 어제 생긴 게 아닙니다. 수년간 PHP 코드 안에 있었고 과거에도 문제 소지가 지적됐지만 실제 공격에 써먹기는 어렵다고 여겨졌습니다.</p> <p contents-hash="3ee863e64d89f69ebac954c09d576f3cf2c6d85dca7e9127d9e6afd484adb35a" dmcf-pid="QS1w5D2ul3" dmcf-ptype="general">결함은 인간 해커가 발견한 게 아닙니다. 사이버보안업체 캘리프가 오픈AI의 모델 ‘GPT-5.6 솔(Sol)’을 써서 찾아냈습니다. 구글 계열 보안업체 위즈도 따로 두 건을 발견해 신고했습니다.<br>위즈 연구진의 설명이 핵심을 찌릅니다. “근본 결함은 수십 년간 있었습니다. 다만 악용이 가능하다는 걸 증명하려면 인간 연구자가 현실적으로 해낼 수 있는 한계선에 걸친 극도로 복잡한 단계의 연쇄가 필요했습니다. 프런티어 AI 모델이 그 장벽을 크게 낮췄고 오래된 결함을 실제 공격 도구로 바꿔놨습니다.”</p> <figure class="figure_frm origin_fig" contents-hash="cc0d2d5514eea43cd9abdc02ed7d9744e5f912428894b7bfdf07e06ba686099f" dmcf-pid="xvtr1wV7WF" dmcf-ptype="figure"> <p class="link_figure"><img alt="챗GPT로 생성" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/25/ked/20261025082944888mcdj.jpg" data-org-width="1200" dmcf-mid="fWWNya71S7" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/25/ked/20261025082944888mcdj.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 챗GPT로 생성 </figcaption> </figure> <p contents-hash="016f29d5daeb665ae6345e609b9be25af65178fca7eee73c2fec2a96be68faf8" dmcf-pid="yjIdOe1yTt" dmcf-ptype="general"><strong><span>패치보다 빨랐던 공 </span></strong></p> <p contents-hash="3cacb6212dc92b944510a469afa92a595c43e179f48006c59b540d1ad3d661c9" dmcf-pid="WACJIdtWh1" dmcf-ptype="general">PHP 개발진은 원래 22일 패치를 낼 계획이었지만 20일 온라인 게시판에 정보가 새면서 하루 앞당겼습니다. 하지만 늦었습니다. 아마존웹서비스(AWS)는 그보다 앞선 10월 17일부터 공격 시도를 관측했다고 밝혔습니다.</p> <p contents-hash="6b4bc184f5222123ac3f5c614ce69f0f9896ec2a9dc31aa20a1dd1909e20b5c1" dmcf-pid="YchiCJFYC5" dmcf-ptype="general">해외는 즉각 움직였습니다. 미국 국가안보국(NSA)은 “취약점을 통해 서버의 파일 시스템이나 데이터베이스에 직접 접근할 수 있다”며 당장 업데이트가 어렵다면 해결될 때까지 시스템을 아예 인터넷에서 끊으라고 권고했습니다. 연방수사국(FBI)도 민감 정보 유출 가능성을 경고했습니다. 네덜란드와 핀란드 등 일부 유럽 정부 기관은 예방 차원에서 홈페이지 문을 닫았습니다. 프랑스 정부 포털도 접속이 끊겼습니다.</p> <p contents-hash="0b0604a2efc8f457915329f98ca5f112cfdec7dc9d0b5bea74ebd49b6fe0b7b8" dmcf-pid="Gklnhi3GhZ" dmcf-ptype="general"><strong><span>한국의 약한 고리는 잊힌 웹페이지 </span></strong></p> <p contents-hash="4723bd311c3db2cf025c765f910a2c0621fd481954104cc63fd0f1d3470921c6" dmcf-pid="HESLln0HhX" dmcf-ptype="general">정부도 22일 낮 12시를 기해 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 올렸습니다. CISO 신고 기업 약 2만8000개와 주요정보통신기반시설 111곳, ISMS 인증 기업 1068곳, 웹호스팅사 등에 내용을 긴급 전파했습니다.</p> <p contents-hash="69cd412698b9eefa7e47ecdea94f57296dd36095e9a13f8701f395d7cc989771" dmcf-pid="XDvoSLpXhH" dmcf-ptype="general">하지만 오래전에 만들어 두고 아무도 관리하지 않는 홈페이지는 사각지대로 남습니다. 외주로 맡겨 만든 쇼핑몰 관리 화면에도 PHP가 들어가 있을 수 있습니다. 담당자가 누군지도 잊힌 서버. 피해가 여기에 집중될 수 있다는 분석이 나옵니다. 고칠 사람이 없는 서버는 고쳐지지 않습니다.</p> <figure class="figure_frm origin_fig" contents-hash="b4600b863929f4d65f3cb2be27e389e1491933b1c5d2a3f95f149f0067f07dcd" dmcf-pid="ZwTgvoUZhG" dmcf-ptype="figure"> <p class="link_figure"><img alt="챗GPT로 생성" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/25/ked/20261025082943623lmes.jpg" data-org-width="1200" dmcf-mid="ZJ0O3s8BSd" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/25/ked/20261025082943623lmes.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 챗GPT로 생성 </figcaption> </figure> <p contents-hash="145ce11e0d66f36703abac27fd860beb5144b4aa30abe2779ff7c17ac20cb94f" dmcf-pid="5ryaTgu5CY" dmcf-ptype="general"><strong><span>문제는 고치는 속 </span></strong></p> <p contents-hash="9a769df4d05d9b05204087e5991ede19c128a002a1ae97424e048034bd0225a2" dmcf-pid="1mWNya71CW" dmcf-ptype="general">이번 일을 PHP 한 건의 사고로만 보면 핵심을 놓칩니다. 같은 패턴이 쌓이고 있습니다.<br>지난해 8월 구글의 ‘빅슬립’은 오픈소스에서 알려지지 않은 취약점 20건을 스스로 찾아냈습니다. 미국 국방고등연구계획국(DARPA)이 연 AI 사이버 챌린지에서는 5400만 줄짜리 코드를 네 시간 연산으로 훑어 54건을 건져 올렸습니다. 오픈AI는 올해 6월 리눅스와 파이썬 등 19개 주요 오픈소스를 겨냥한 ‘패치 더 플래닛’을 시작해 수백 건의 보안 문제를 찾아냈습니다. 그리고 오픈AI는 앞으로 몇 달간 AI를 통한 비슷한 취약점 발견이 급격히 늘어날 것이라고 내다봤습니다.</p> <p contents-hash="c5bcec55ebf254084b3bfe10172d89d76f143edbea051e80462d00134ac2ecd1" dmcf-pid="tsYjWNztWy" dmcf-ptype="general">문제는 빠르게 문제점을 발견해도 수리 속도는 제자리라는 겁니다. 대다수 조직은 여전히 취약점을 하나씩 손으로 처리합니다.</p> <p contents-hash="813c7426300aac23243b065fbd1af8ba9a27f298fdac6d2fc41f26b53aa2950a" dmcf-pid="FOGAYjqFvT" dmcf-ptype="general">물론 AI가 찾아낸 결함이 모두 진짜는 아닙니다. AI가 확실하다고 보고한 오픈소스 취약점 다섯 건이 사람 손을 거친 뒤 저위험 한 건으로 줄어든 사례도 있습니다. 오픈AI 프로그램도 AI가 올린 발견을 전담 엔지니어가 전수 검토한 뒤에야 개발자에게 넘깁니다.</p> <p contents-hash="f67f0607433ee292d5e8f1f1f8edb2beb992a589f7d268bd6a7af136a36efcf6" dmcf-pid="3IHcGAB3lv" dmcf-ptype="general">AI는 공격자와 방어자 양쪽의 도구입니다. 다만 지금 확실히 바뀐 것은 공격이 아니라 발견 속도라는 의견이 나옵니다. 수십 년 묻혀 있던 결함들이 한꺼번에 수면 위로 올라오는 구간에 들어섰습니다.</p> <p contents-hash="1e939e49759b10d5c02075b9517403c411add48d92515c415fb81a41b1d0daec" dmcf-pid="0HuhUCQ9SS" dmcf-ptype="general">허진 기자 hjin@hankyung.com</p> </section> </div> <p class="" data-translation="true">Copyright © 한국경제. 무단전재 및 재배포 금지.</p> 관련자료 이전 8500명 떼창에 물든 분당중앙공원… 10주년 맞은 ‘KT 보야지 페스티벌’ 10-25 다음 에어로로보틱스이노베이션, 공간 이해하는 AI로 드론·로봇 자율화 [서울AI허브 2027] 10-25 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
