PHP 이어 Node.js까지···웹사이트 원격 조종 취약점 잇따라 작성일 10-26 14 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">AI 활용 취약점 탐색 늘며 결함 속속 드러나 <br>PHP·Node.js 같은 날 긴급 패치</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="4Jm0HTd8Lp"> <figure class="figure_frm origin_fig" contents-hash="9e09235ebd635d95d2d84b8043745c148ac49b682665a865f84f04a198c5e7f6" data-idxno="241385" data-type="photo" dmcf-pid="8ispXyJ6i0" dmcf-ptype="figure"> <p class="link_figure"><img alt="이미지 = 제미나이 생성" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/26/552777-a6ToU27/20261026155404029nuwh.png" data-org-width="960" dmcf-mid="f36wai3GiU" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/26/552777-a6ToU27/20261026155404029nuwh.png" width="658"></p> <figcaption class="txt_caption default_figure"> 이미지 = 제미나이 생성 </figcaption> </figure> <p contents-hash="c333646af3ecbfdfd7f4f867bc5abf3b9a6bc85dce0bb9aa69130d23bdfb2228" dmcf-pid="6nOUZWiPn3" dmcf-ptype="general">[시사저널e=송주영 기자] 웹 서비스용 소프트웨어에서 인증 없이 원격으로 코드를 실행할 수 있는 취약점이 잇따라 발견됐다. AI를 활용한 취약점 탐색이 늘면서 오래된 결함이 연이어 드러난 것이다. AI가 인터넷 전반에 영향을 미치는 결함을 찾아내면서 보안 위협이 더 커졌단 분석이다.</p> <p contents-hash="fad8e66f048a976f18d09235671d3bca0c8be0d2f7931f16d29716742c834d39" dmcf-pid="PLIu5YnQRF" dmcf-ptype="general">26일 보안업계에 따르면 최근 PHP와 Node.js 등 웹 서버 런타임 취약점이 잇따라 발견됐다. 두 취약점 모두 개발자가 작성한 애플리케이션 코드가 아닌 런타임 내에서 발생한 오류다.</p> <p contents-hash="8b53d86bf2472630047d0d0ac7d46d220f9a073e0a78550f22e3b424b4067d4e" dmcf-pid="QoC71GLxMt" dmcf-ptype="general">미국 월스트리트저널(WSJ)은 AI 기술로 보안 연구자들이 수천 건의 소프트웨어 버그를 찾아내고 있으며 패치해야 할 문제가 쏟아져 PHP 같은 오픈소스 프로젝트가 감당하기 어려운 지경이라고 보도했다.</p> <p contents-hash="51f21b7876da183f3703c0c4546650e234148bd977b7234e1904b7ab67712e0b" dmcf-pid="xBdhDjqFd1" dmcf-ptype="general"><strong>◇ Node2Shell, 압축 기능 안 써도 노출</strong></p> <p contents-hash="21844093c2155aab46e7ea18b260738876917f92aaee0b02e477b3abe6eb1810" dmcf-pid="ywH4qpDgL5" dmcf-ptype="general">Node2Shell은 Node.js에 들어 있는 압축 해제 기능에서 발견됐다. 구글이 만든 데이터 압축 기술 '브로틀리'로 압축된 데이터를 풀 때 정해진 메모리 공간 밖에까지 데이터를 쓰는 결함이다. 공격자는 로그인 없이 조작한 압축 데이터를 보내는 것만으로 서버를 멈추게 하거나 메모리에 담긴 정보를 빼내고 서버를 원격으로 조종할 수 있다.</p> <p contents-hash="bbec5a17d4bdc1fec5945171e98ec704b9db5e91a1e12c64217702a92c95d219" dmcf-pid="WrX8BUwadZ" dmcf-ptype="general">Node.js 개발팀은 위험도를 '높음'으로 분류했고 브로틀리를 관리하는 구글은 10점 만점의 국제 취약점 평가 기준(CVSS 4.0)으로 9.2점을 매겼다.</p> <p contents-hash="3108c4e89791734b96234c387520b8fd249aba00e10af59dd9c8244071adf872" dmcf-pid="YmZ6burNnX" dmcf-ptype="general">공격은 서버가 조작된 압축 데이터를 풀 때 실행된다. 개발자들이 널리 쓰는 웹 개발 도구와 통신 도구 상당수가 받은 압축 데이터를 자동으로 풀어준다. 개발자가 압축 기능을 따로 쓰지 않아도 공격이 가능하단 지적이다.</p> <p contents-hash="fcb2b9c461f5eaec8160e1474f072382accf9219057e341249d861269bc15436" dmcf-pid="Gs5PK7mjdH" dmcf-ptype="general">보안업계 관계자는 "공격자가 서버에 데이터를 보내는 경우뿐 아니라 서비스가 다른 서버에서 받아온 압축 데이터를 풀 때도 공격이 실행된다"고 설명했다.</p> <p contents-hash="da401a0f92397a56bd9c398348945004e8e4bc30269a4ef6ba930da6c09cfe12" dmcf-pid="HO1Q9zsAJG" dmcf-ptype="general">영향을 받는 버전은 Node.js 22.x, 24.x, 26.x 라인 중 최신 패치를 적용하지 않은 버전이다. Node.js 보안팀은 22.23.4, 24.22.1, 26.12.1 이상으로 업데이트하라고 권고했다. 공식 지원이 끝난 Node 20 이하는 오픈소스 차원의 수정이 없어 운영체제 등에서 보안 업데이트 여부를 따로 확인해야 한다.</p> <p contents-hash="786a44c597f8a12cbda493af42ea47d5b7290b651ff151fec362d1f47e2ca45b" dmcf-pid="XItx2qOcLY" dmcf-ptype="general">구글은 올해 2월 브로틀리 원본에서 이 결함을 고쳤다. 이 수정 내용이 최근 Node.js에 반영되기까지 8개월이 걸린 셈이다. 패치가 발표된 이후 실제 공격이 가능하다는 것을 보여주는 시험용 공격 코드도 인터넷에 공개됐다.</p> <p contents-hash="0af496bcbccaf2cd86fa7319ee6239c827ea24c29c1dff6792b2340347040400" dmcf-pid="ZCFMVBIkLW" dmcf-ptype="general"><strong>◇ PHP2Shell, 패치 하루 전 정보 유출</strong></p> <p contents-hash="1b60b2a20ca0e2e8adcc22e4325d221d3535637770a600a3f849515dc36fffeb" dmcf-pid="5h3RfbCELy" dmcf-ptype="general">앞서 PHP도 문제가 됐다. PHP 보안팀은 긴급 패치를 내고 취약점 두 건(CVE-2026-109618, CVE-2026-109619)을 수정했다. 두 건 모두 10점 만점의 국제 취약점 평가 기준(CVSS 4.0)으로 9.2점을 받아 가장 높은 '치명적' 등급으로 분류됐다.</p> <p contents-hash="02c9ef4cccf8d38821be81ef86759f3b9f487ebd608ee46c665321c58d0f64fd" dmcf-pid="1l0e4KhDnT" dmcf-ptype="general">첫 번째 결함은 PHP가 요청을 처리하다 메모리가 부족해 중간에 멈출 때 생긴다. PHP는 요청 하나가 메모리를 많이 사용하는 것을 막기 위해 메모리 사용 한계를 두는데 이때 처리하다 만 정보를 완성된 정보로 잘못 알고 그대로 쓰면서 메모리가 망가지는 결함이 발생했다. 공격자는 이 틈을 타 서버에 명령을 내릴 수 있다.</p> <p contents-hash="73ef32c49335d3e9a35c0e9be35b77740144670640bab865ea5065b7dda58efa" dmcf-pid="tSpd89lwdv" dmcf-ptype="general">두 번째 결함은 앞선 요청이 끝나 비워진 메모리 자리를 다음 요청이 다시 찾아가 쓰면서 생긴다. 공격자는 비워진 자리에 미리 자기 데이터를 넣어두는 방식으로 서버를 조종할 수 있다.</p> <p contents-hash="f47bbc7260da50386ffb8a7bf644c5e7aec3727976feb12a3251f0ae6e1ad9aa" dmcf-pid="FvUJ62SrMS" dmcf-ptype="general">PHP는 워드프레스 등 주요 웹사이트 제작 도구의 바탕이 되는 개발 언어다. 전 세계 웹사이트의 약 70%가 PHP로 만들어진 것으로 추정된다. 결함이 수정된 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35다. 이미 지원이 끝난 8.1 이하 버전은 고친 버전이 나오지 않고, 8.2도 올해 12월 31일 지원이 끝난다.</p> <p contents-hash="1ba3eab90bc208a25cd05dc5158d168bd38b0e6171e32a86361980ca8a78f0d4" dmcf-pid="3TuiPVvmLl" dmcf-ptype="general">한국인터넷진흥원(KISA)은 지난 21일 PHP 업데이트를 권고하고 22일 기업용 대응 수칙을 냈다. KISA에 따르면 공격자는 서버에 원격조종 파일을 심거나 고객정보를 빼내고, 홈페이지를 바꾸거나 회사 내부망까지 침투할 수 있다. 서버 메모리에 남아 있는 비밀번호와 각종 접속 정보도 빼낼 수 있다.</p> <p contents-hash="3a780567c75cfeb578de83d9953bfd0ceb98c60aff7686b833500fe8a578f915" dmcf-pid="0y7nQfTsRh" dmcf-ptype="general"><strong>◇ AI가 찾고 AI로 공격 코드 만든다</strong></p> <p contents-hash="36922fba36d5e46fc84a9e58b31bad33120da3e3f1a8e050b04969501e9ccb1c" dmcf-pid="pWzLx4yOeC" dmcf-ptype="general">두 취약점이 잇따라 나온 배경에는 AI를 활용한 취약점 탐색이 있단 지적이다. PHP2Shell은 미국 보안 기업 캘리프가 지난 8월 오픈AI의 GPT-5.6 솔 모델을 활용해 처음 찾았다. 구글 산하 위즈 연구팀도 몇 주 뒤 같은 결함을 발견했다.</p> <p contents-hash="1da723b33aa7fb7c5ecf0c28c7ab1aedb3758a88660be689e61bdd86fd3a3e97" dmcf-pid="UYqoM8WIeI" dmcf-ptype="general">Node2Shell은 오픈AI 코덱스 시큐리티 소속 연구원 2명이 찾아 Node.js에 신고했다. 오픈AI는 이 밖에도 여러 심각한 취약점을 찾아 수정을 진행 중이라고 밝혔다.</p> <p contents-hash="a09e399905c7abb57090428117f58a32011686e6a774850abf0756fd3100cc14" dmcf-pid="uPAXSO6biO" dmcf-ptype="general">AI가 결함을 찾는 속도만큼 공격자가 패치를 분석해 공격 코드를 만드는 속도도 빨라졌단 분석이다.</p> <p contents-hash="685a652fd2a809acdc92ef7ea64e59338457858b2e2b3c04f043102149c16c4c" dmcf-pid="7QcZvIPKMs" dmcf-ptype="general">국내 보안업계도 무료 점검 서비스로 대응에 나섰다. 스틸리언과 피오링크는 웹사이트 주소만 넣으면 PHP 버전으로 PHP2Shell 영향 여부를 확인하는 서비스를 열었다.</p> <p contents-hash="13217b355b4607a41b06ef1eeba388bf6b9c9b729f154295cc3a68b0c8f1dc62" dmcf-pid="zxk5TCQ9em" dmcf-ptype="general">티오리는 별도 스크립트 설치 없이 운영 중인 서비스 URL만으로 Node2Shell 노출 위험을 점검하는 온라인 진단 서비스(nodejsguard.io)를 시작했다. 시스템 환경상 즉시 Node.js를 패치하기 어려운 경우에 대비해 패치 전까지 공격을 막을 수 있는 리버스 프록시·애플리케이션 단의 임시 완화 방안도 내놨다.</p> <p contents-hash="b901ff7fd134f29c1fc1d1ce4e60651676fe95116993b36cca914e164bbf0d0f" dmcf-pid="qME1yhx2dr" dmcf-ptype="general">임준오 티오리 AI&사이버리서치팀 총괄은 "이번 Node2Shell 취약점은 개발자가 압축 기능을 직접 쓰지 않았더라도 웹 프레임워크가 응답을 처리하는 과정에서 자동으로 공격에 노출될 수 있어 사전 차단이 무엇보다 중요하다"고 설명했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 시사저널e 무단전재 및 재배포 금지</p> 관련자료 이전 몸속에서 DNA 직접 고치는 시대 열리나…차세대 ‘프라임 편집’ 첫 체내 임상 10-26 다음 [스타트업-ing] ‘위성 통신에 AI 결합’ 퓨잇, 해외 오지까지 안전 서비스 연결 나선다 10-26 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
