전 세계 웹사이트의 약 70%가 사용하는 프로그래밍 언어 ‘PHP’에서 취약점이 발견돼 각국 정부와 기업 보안에 비상이 걸렸다. 해당 결함은 미국 보안회사 캘리프(Calif)가 오픈AI의 첨단 인공지능(AI) 모델 ‘GPT-5.6 솔(Sol)’을 사용해 발견했다. 개발진이 부랴부랴 보안 업데이트를 내놨지만, 취약점을 노린 해커들의 표적이 될 수 있다는 우려가 나온다. 각국 정부는 공식 온라인 서비스를 중단하고 대응 마련에 나섰다. ◇“공개 후 공격 시도 수백만 건”
22일 PHP재단 등에 따르면 전날 PHP 개발진은 외부에서 서버에 악성 코드를 심을 수 있는 취약점 2건(PHP2Shell)을 고친 보안 업데이트를 발표했다. 지난 8월 해당 결함을 발견한 캘리프 연구진의 신고를 받은 뒤 두 달 여 검증 작업을 거쳐 해결책을 내놓은 것이다.
PHP는 금융사, 쇼핑몰, 기업 홈페이지 등 각종 웹사이트와 그 뒤의 서버 사이에서 작업하며 결제와 주문 등을 처리한다. PHP에 보안 결함이 생기면 해커들이 침투해 서버 속 정보를 가져가거나 웹사이트를 마음대로 바꾸고, 다른 기업 서버를 조종하는 등의 공격을 시도할 수 있다.
결함에 대한 가능성은 2024년 처음 제기됐다. 당시엔 악용 가능성이 희박하다고 여겨져 수정이 보류됐다. 하지만 AI가 이를 발견하면서 얘기가 달라졌다. 월스트리트저널(WSJ)에 따르면 캘리프 연구진은 GPT 5.6 Sol을 이용해 PHP에서 취약점 2곳을 찾아냈고, PHP 개발진과 함께 오픈AI의 자금 지원을 받아 보안 패치를 개발했다. 타이 즈엉 캘리프 최고경영자(CEO)는 “그동안 악용하기가 너무 어렵다고 여겨져 잊혀졌던 결함”이라며 “보안 패치가 공개됐지만 해커들도 AI를 이용해 패치를 역분석한 뒤 공격하면 대혼란이 일어날 것”이라고 우려했다.
매튜 프린스 클라우드플레어 CEO는 X(옛 트위터)에 글을 올려 “패치 공개 이전 10시간 동안 공격 시도는 수천 건이었지만 공개 이후 수백만 건에 도달했다”고 전했다. 이번 보안 결함 패치 발표를 앞두고 일부 보안업체가 약속된 시간보다 이르게 패치를 공개하면서 해커들에게 분석 시간을 벌어줬다는 지적도 나온다. ◇韓, 구버전 많아 해킹에 취약전 세계 기업과 정부는 긴급 대응에 나섰다. 미국과 영국 정부는 기업들에 보안 업데이트를 촉구하는 동시에 패치 적용이 어려울 경우 시스템을 오프라인으로 전환하라고 권고했다. 네덜란드는 해킹에 대비해 유럽 최대 항구인 로테르담 항만, 주요 정당과 병원, 정부 포털사이트 등의 서비스를 중단했다. 다카이치 사나에 일본 총리는 “웹사이트에서 PHP를 사용하고 있는지 확인하고 수정 패치를 가능한 신속하게 적용해달라”고 했다.
한국은 이번 PHP 공격 가능성에 특히 취약한 국가로 분류된다. 보안 패치를 적용하기 어려운 PHP 8.1 이하 버전 비중이 89%로 일본(79%), 미국(71%), 프랑스(69%) 등 주요국보다 높다. 특히 중소기업이나 소상공인의 경우 외부 업체에 위탁해 웹사이트를 만든 뒤 유지·보수 계약이 종료된 경우가 많아 대응이 어려울 수 있다는 우려도 나온다. 문종현 지니언스 시큐리티센터장은 “보안 전문 인력이 많지 않은 중소기업 서버가 취약점이 될 수 있다”며 “패치를 적용해도 경우에 따라서는 다른 기능과 충돌이 생기는 등 부작용이 생길 가능성이 있다”고 말했다. 아직 한국에서 보고된 피해사례는 없다.
우리 정부도 긴급 대응에 나섰다. 과학기술정보통신부는 이날 위기평가 회의를 거쳐 낮 12시를 기해 민간 분야 사이버위기 ‘주의’ 경보를 발령했다. 관심·주의·경계·심각의 4단계인 민간 분야 사이버위기 경보 중 2단계다. 이에 따라 사고 대응 인력을 증원하고 비상출동조를 상시 대기시키는 등 비상대응 체계를 가동한다. 국가안보실도 송기호 3차장 주재로 과기정통부, 국방부, 국가정보원 등과 긴급대책 회의를 개최하고 부문별 대응 상황을 점검했다.
▶PHP
원래는 ‘개인 홈페이지 도구(Personal Home Page)’였으나, 최근엔 하이퍼텍스트 프리프로세서(Hypertext Preprocessor)로 사용되고 있음. 쉽게 만들 수 있어 홈페이지, 온라인 쇼핑몰, 관리자 페이지 등 다양한 웹 서비스를 만드는 데 사용되는 프로그래밍 언어.
박한신/라현진 기자 phs@hankyung.com