전 세계 웹 70% '치명적 버그' 발견…美·유럽 해킹 초비상

/사진=임종철 디자이너

전 세계 웹사이트의 70% 이상이 사용하는 핵심 프로그래밍 언어 'PHP'에서 치명적인 보안 취약점이 발견돼 글로벌 인터넷 생태계에 초비상이 걸렸다. 특히 이번 결함 탐지에는 인공지능(AI) 기술이 결정적인 역할을 한 것으로 나타나 사이버 보안의 새로운 이정표가 된 동시에 해커들이 AI를 악용해 무차별 공격에 나설 수 있다는 공포도 함께 확산하고 있다.

21일(현지시간) 월스트리트저널(WSJ), 로이터 통신 등 주요 외신에 따르면 PHP 개발진은 이날 외부 로그인이나 별도의 인증 절차 없이 원격으로 코드를 실행해 서버를 통째로 장악할 수 있는 치명적 취약점 2건을 수정한 긴급 보안 패치를 배포했다.

━
전 세계 웹 75% '무방비 노출'…미 NSA·FBI "업데이트 안 되면 사이트 내려라"
━
웹 기술 분석업체 W3Techs에 따르면 프로그래밍 언어를 식별할 수 있는 웹사이트의 약 75%가 PHP를 기반으로 작동하며 세계 최대 웹사이트 제작 플랫폼인 워드프레스와 위키피디아 등 수억개의 사이트가 위험권에 포함된다.

파장이 걷잡을 수 없이 커지자 미 국가안보국(NSA)과 연방수사국(FBI)은 이날 일제히 경보를 발령하고 즉각적인 업데이트 조치를 강력히 권고했다. 미 당국은 "이번 취약점은 서버의 파일 시스템이나 데이터베이스에 직접 접근할 수 있는 경로를 제공한다"며 "즉시 패치가 불가능한 기업과 기관은 시스템을 오프라인 상태로 즉시 전환해야 한다"고 당부했다.

유럽 각국은 예방적 조치로 대대적인 웹사이트 셧다운에 나섰다. 네덜란드에서는 유럽 최대 항만인 로테르담 항만을 비롯해 정부 포털, 병원, 주요 정당 웹사이트가 접속을 차단했다. 핀란드, 덴마크, 벨기에 등에서도 정부 공공망, 주요 언론사, 공립학교 소통 플랫폼 등이 선제적으로 오프라인 전환을 감행하면서 광범위한 서비스 중단 사태가 이어졌다.

━
"AI 없었다면 못 찾았다"…10년 묵은 결함 파헤친 AI
━
이번 사태는 AI가 사이버 보안 분야에서 거둔 역사적인 성과이자 경고로 평가받는다. 보안업체 캘리프는 오픈AI의 'GPT-5.6 솔'을 활용해 문제의 결함을 찾아냈다. 보안업체 위즈도 독자적으로 취약점을 발견해 신고했다.

해당 결함은 지난 10년 이상 PHP 코드에 존재해 왔지만 개발자들이 발견하기에는 지나치게 복잡해 단순 잠재 우려로 치부돼 왔다. 위즈의 아미 루트와크 공동창업자는 "AI가 발견한 취약점 중 역대 가장 심각한 수준"이라며 "AI가 없었다면 수년 동안 파악조차 불가능했을 것"이라고 밝혔다.

오픈AI 역시 성명을 내고 "최근 기억에 남을 만큼 가장 파급력이 큰 보안 문제 중 하나"라고 밝혔다.

━
'엠바고 깨고 기습 유출'…보안업체 공조 실패로 해커에 6시간 쥐여줘
━
보안 패치 배포 과정에서 발생한 심각한 공조 실패는 사태를 더욱 악화시켰다. 당초 PHP 개발진은 오는 22일 패치를 공개할 예정이었지만 온라인에 취약점 정보가 유출되면서 일정을 하루 앞당겼다.

하지만 패치 배포 직전 패치 배포업체인 체인가드가 약속된 엠바고를 깨고 무단으로 패치 코드를 6시간 일찍 공개했다. 인공지능 도구를 활용하면 공개된 패치 코드를 역분석해 몇 분 만에 공격용 악성 스크립트를 만들어낼 수 있다. 결과적으로 정식 배포를 기다리던 수억명의 이용자들이 방어망도 없이 해커들의 공격 타깃으로 노출된 셈이다.

PHP 재단은 "수많은 주체가 수주 동안 기울인 노력을 무시한 일방적 행위"라며 비판했다. 실제로 클라우드플레어 등 보안 기업들은 이미 초기 공격 시도가 감지되고 있다고 밝혔다.

한편 PHP 재단은 2024년 외부 보안 감사에서 이미 관련 결함의 징후를 포착했음에도 내부 합의 난항과 기존 프로그램과의 호환성 문제 등으로 패치 작업을 미뤄온 사실을 인정했다. PHP 재단은 "사실을 숨기지 않겠다"며 "의사 결정의 지연과 자원 부족이 불러온 구조적 실패였다"고 밝혔다.

뉴욕=심재현 특파원 urme@mt.co.kr
[내 주식이 궁금할땐 머니투데이]