AI가 PHP 결함 찾아내… 전 세계 웹사이트 '패치 전쟁'

인공지능(AI)이 전 세계 웹사이트의 70% 이상을 떠받치는 프로그래밍 언어 'PHP'에서 치명적인 보안 결함을 찾아냈다. 10년 넘게 아무도 몰랐던 결함이다. 각국 정부와 기업이 웹사이트를 잇따라 내리는 등 인터넷 전반에 비상이 걸렸다. PHP 개발진은 21일(현지시간) 'PHP2셸(PHP2Shell)'로 이름 붙은 보안 취약점 2건을 고친 업데이트를 긴급 배포했다. 이 결함은 PHP가 컴퓨터 메모리를 관리하는 방식에서 생긴다. 해커가 악용하면 로그인이나 인증 없이도 패치되지 않은 웹서버에서 임의의 프로그램을 실행하고 시스템을 장악할 수 있다. PHP는 '웹의 중추'로 불린다. 워드프레스, 드루팔, 줌라, 마젠토, 위키피디아의 미디어위키 같은 주요 플랫폼이 모두 PHP로 작동한다. 드루팔협회 측은 "지난 20년 동안 나온 모든 버전의 PHP를 쓰는 서버가 취약하다"며 "인터넷 대부분이 영향을 받는다"고 말했다. 사람은 못 찾았다… AI가 찾아낸 '인터넷의 뒷문' 이번 결함은 AI 없이는 찾기 어려웠을 것이라는 평가가 나온다. 보안업체 캘리프(Calif)의 연구원 라이언 오스틴은 지난 8월 오픈AI의 AI 모델 'GPT-5.6 Sol'로 PHP 소스코드를 점검하다 결함을 발견했다. 이 점검은 오픈AI가 오픈소스 소프트웨어의 보안 문제를 찾아 고치도록 지원하는 활동의 하나로 자금을 댄 것이다. 문제가 된 부분은 과거에도 지적된 적이 있다. 다만 실제 공격에 쓰기에는 너무 어렵다고 여겨져 잊혀 있었다. 이번에 AI의 도움으로 실제로 악용할 수 있는 길이 드러난 것이다. 구글 산하 보안업체 위즈(Wiz)도 자체 AI 취약점 연구 도구와 구글·오픈AI의 모델을 활용해 별도의 공격 경로를 찾아냈다. 위즈 공동창업자 아미 루트와크는 PHP2셸을 "지금까지 AI로 찾아낸 취약점 가운데 가장 심각한 것"이라고 평가했다. 오픈AI는 이번 결함이 "이미 발견해 수정 중인 여러 중대한 취약점 가운데 일부에 불과하다"고 밝혔다. 이어 "앞으로 몇 달 동안 비슷한 발견이 급격히 늘어날 것"이라고 내다봤다. 패치 작업도 만만치 않았다. 수정 대상 파일은 200개에 가까웠고, 개발자들이 새로 쓴 코드는 1만 줄이 넘었다. 원래 공개일은 22일이었다. 그러나 20일 온라인 커뮤니티에 패치 소식이 새어 나가면서 일정이 하루 앞당겨졌다. 유럽 정부 사이트 줄줄이 '셧다운'… 미 NSA·FBI "업데이트 못하면 오프라인으로" 결함이 공개되자 각국은 비상 대응에 들어갔다. 네덜란드에서는 국가사이버보안센터가 먼저 사이트를 내렸고, 로테르담항, 정부 포털, 축구협회, 주요 정당, 병원 웹사이트가 뒤를 따랐다. 프랑스 내무부는 모든 웹사이트를 예방 점검 상태로 돌렸고, 핀란드는 정부 공공 네트워크 서비스를 예방 차원에서 중단했다. 덴마크에서도 전국 학교 소통 플랫폼 등 여러 서비스가 멈췄다. 위키피디아 운영사와 인터넷 아카이브도 일부 시스템을 일시적으로 내렸다. 미국에서는 국가안보국(NSA)과 연방수사국(FBI)이 나섰다. 두 기관은 즉시 업데이트할 수 없다면 문제가 해결될 때까지 시스템을 오프라인으로 전환하라고 권고했다. 다카이치 사나에 일본 총리도 웹사이트 운영자들에게 PHP 사용 여부를 확인하고 새 패치를 적용할 준비를 하라고 당부했다. "패치 공개가 곧 공격 개시 신호"… AI가 키운 '악용 경쟁' 보안업계가 가장 걱정하는 것은 지금부터다. 패치가 공개되면 해커는 무엇이 바뀌었는지 분석해 거꾸로 공격 방법을 찾아낸다. AI 도구는 이 작업을 사람보다 훨씬 빠르게 해낸다. 한 보안 전문가는 AI가 '악용 경쟁'을 부추기고 있다고 말했다. 그는 다음 단계는 "인터넷상의 모든 취약한 웹서버가 대규모로 뚫리는 것"이 될 수 있다고 경고했다. 실제로 아마존 보안팀은 공식 발표 나흘 전인 17일에 이미 미끼 시스템(허니팟)을 겨냥한 공격 시도를 감지했다. 아마존은 지금은 이 결함이 "광범위하게 악용되고 있다"고 밝혔다. 인터넷 분석업체 센시스(Censys)에 따르면 조사 대상 호스트 약 260만 개 가운데 150만 개가량이 수정 패치가 없는 PHP 버전을 쓰고 있다. 특히 기술 인력이 부족한 개인이나 소규모 조직의 웹사이트가 위험하다. 이들은 서버를 직접 관리하지 않는 공유 호스팅 서비스를 쓰는 경우가 많아 피해 가능성이 더 크다. 국내도 긴급 대응… 기업 3만여 곳에 보안 조치 안내 국내에서도 정부가 긴급 대응에 나섰다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 21일 밤 국내 주요 기업과 기관에 긴급 보안 조치를 안내했다. 대상은 사이버 위협정보 공유 시스템(C-TAS)에 참여하는 약 5900곳과 정보보호 최고책임자(CISO) 신고 의무가 있는 기업 약 3만 곳이다. KISA는 '보호나라'를 통해서도 보안 업데이트와 패치 적용을 권고했다. 남은 과제는 보안 역량이 부족한 중소기업이다. 전문 인력이 없으면 어떤 시스템이 영향을 받는지 파악하고 업데이트를 적용하는 것부터 쉽지 않다. 보안업계는 경고와 권고에 그치지 말고 기술 지원과 긴급 패치 적용 같은 실질적인 도움이 필요하다고 지적한다. 과기정통부는 "중소기업 긴급 패치 지원 방안을 검토 중"이라고 밝혔다. 이번 사태는 AI가 사이버보안에서 '창'과 '방패' 역할을 동시에 한다는 점을 보여준다. 그동안 AI는 주로 해킹 위협을 키우는 요인으로 꼽혀 왔다. 하지만 이번에는 사람이 10년 넘게 놓친 결함을 찾아내 방어에 크게 기여했다. 동시에 같은 기술이 공격 속도도 끌어올리고 있어, 패치를 얼마나 빨리 적용하느냐가 피해 규모를 가를 것으로 보인다.