전 세계 웹사이트 기반 언어에서 치명적 취약점 2건 발견

AI 활용해 공격 가능성 확인…구버전 운영 사이트 비상

(세종=연합뉴스) 김주성 기자 = 전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 인증 없이 시스템을 장악할 수 있는 치명적인 보안 취약점이 발견되자 정부는 22일 관련 기업에 보안 조치를 안내하는 등 긴급 대응에 나섰다. 사진은 정부세종청사 과학기술정보통신부 사이버침해대응과 사무실. 2026.10.22 utzza@yna.co.kr

(서울=연합뉴스) 오지은 기자 = 전 세계 웹사이트의 상당수가 사용하는 프로그래밍 언어 'PHP'에서 치명적인 보안 취약점이 드러나면서 글로벌 인터넷 보안에 비상이 걸렸다.

해커가 로그인이나 별도의 인증 절차 없이 웹서버를 원격으로 장악할 수 있는 결함으로, 국내외 보안당국은 긴급 보안 업데이트를 권고하고 나섰다.

특히 이번 사태는 10년 넘게 PHP 내부에 숨어 있던 결함이 인공지능(AI)을 활용한 코드 분석 과정에서 발견됐다는 점에서 주목된다. AI가 오랫동안 찾아내지 못했던 보안 허점을 드러내면서 사이버보안의 새로운 가능성과 위험성을 동시에 보여준 것이다.

전 세계 웹사이트의 핵심 기반으로 자리 잡은 PHP는 어떤 언어이며, 이번 취약점은 왜 위험한 것일까. AI가 찾아낸 보안 결함의 실체와 전 세계로 확산한 파장, 국내 웹사이트에 미칠 영향 등을 짚어봤다.

◇ 세계 웹사이트 지탱하는 PHP…AI가 찾아낸 10년 묵은 결함

PHP는 웹 서버에서 동적 웹페이지를 구동하기 위해 전 세계에서 가장 널리 쓰이는 오픈소스 서버 측 스크립트 언어다.

글로벌 웹 기술 조사기관 W3Techs에 따르면 서버 사이드 프로그래밍 언어가 확인되는 전 세계 웹사이트 중 약 76%가 PHP를 기반으로 동작한다.

전 세계 웹사이트 10곳 중 4곳 이상을 점유하는 오픈소스 콘텐츠 관리 시스템(CMS) 워드프레스를 비롯해 수많은 전자상거래 플랫폼과 기관 웹사이트가 이 언어를 토대로 설계됐다.

이번에 공개된 취약점은 공식 식별 번호 'CVE-2026-109618'과 'CVE-2026-109619' 두 건이다. 글로벌 공통 취약점 평가 시스템에서 최고 위험 수준에 가까운 9.2점(치명적)을 받았다.

결함은 서버가 HTTP 요청(웹 브라우저가 보내는 메시지)을 처리하는 과정에서 발생하는 메모리 관리 오류다.

공격자가 조작된 데이터를 특정 방식으로 전송하면 PHP 코어 엔진의 메모리 한계치를 자극해 시스템 내부에서 임의 코드를 실행할 수 있다.

이번 취약점은 보안업체 캘리프 연구진이 오픈AI의 첨단 추론 모델을 활용해 오픈소스 코드를 전수 분석하던 중 지난 8월 처음 포착됐다.

약 10년 전 작성된 PHP 코어 내부 로직에 조용히 잠복해 있던 결함이 고도화된 AI 분석 도구를 거치며 구체적인 악용 경로로 규명된 셈이다.

[AFP=연합뉴스. 재판매 및 DB 금지]

◇ 로그인 없이 서버 장악 우려…전 세계 공격 시도에 긴급 패치

문제의 심각성을 확인한 PHP 재단은 협력 기관들과의 조율을 거쳐 지난 21일 오후 11시 보안 패치 버전을 배포했다.

하지만 패치가 공개되는 시점을 전후해 취약점 세부 내용과 공격 개념 증명(PoC) 코드가 유출되면서, 전 세계 네트워크와 허니팟(해킹 유인 시스템)에서 실제 공격 시도가 즉각 관측되기 시작했다.

네덜란드 등 유럽 일부 공공기관은 서버 감염을 차단하기 위해 예방 차원에서 대민 웹 서비스를 일시 중단하는 조처를 했다.

한국인터넷진흥원(KISA) 역시 21일 긴급 보안 공지를 발표하고 국내 기업과 웹서비스 운영자들에게 최신 보안 버전으로 즉각 업데이트할 것을 권고했다.

특히 보안 업계는 이미 공식 기술 지원이 종료(EOL)돼 패치가 나오지 않는 구버전(PHP 5.x, 7.x, 8.1 이하)을 운용 중인 중소·영세 웹사이트들을 핵심 위험 요소로 지목한다.

이번 공격 원리가 과거 PHP 5.4 버전부터 최신 버전까지 광범위하게 적용될 수 있는 것으로 파악됐기 때문이다.

전문가들은 보안 패치를 적용한 뒤 웹서버와 PHP-FPM 프로세스 관리자를 완전히 재시작해야 취약점이 차단된다고 설명한다.

아울러 패치 적용 전 인터넷에 노출돼 있던 환경이라면 메모리에서 유출됐을 가능성이 있는 데이터베이스(DB) 접속 비밀번호와 API 인증 토큰을 갱신하고, 시스템 내 웹셸(원격제어 악성 파일) 은닉 여부를 점검할 필요가 있다고 조언한다.

built@yna.co.kr