프로그래밍 언어 ‘PHP’에 보안 허점 발견…세계 웹사이트에 해킹 비상

AI, 소스코드 점검 중 취약점 발견
해커의 AI 악용 공격 속도전 우려
PHP 보안 결함 긴급 수정판 배포

21일(현지시간) 전 세계 웹사이트에서 가장 널리 사용되는 프로그래밍 언어 중 하나인 PHP에서 보안 결함이 발생한 가운데 네덜란드·핀란드 등 일부 유럽 국가의 정부 웹사이트들이 접속이 중단됐다. 사진은 이날 영국 런던의 한 카페에서 한 시민이 노트북으로 업무를 보고 있는 모습. ⓒ 로이터/연합뉴스

전 세계 웹사이트에서 광범위하게 사용되는 프로그래밍 언어에서 ‘PHP’에서 치명적인 보안 허점이 발견돼 해킹 비상이 걸렸다. 일부 해커들의 공격 시도가 포착되면서 네덜란드와 핀란드 등의 정부기관들은 예방 차원에서 웹사이트 운영을 중단했다.

미 월스트리트저널(WSJ) 등에 따르면 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 PHP 개발진은 21일(현지시간) 2건의 치명적인 보안 취약점을 수정한 새 버전을 긴급 공개했다. 이번 결함은 공격자가 별도의 로그인이나 인증 절차 없이 외부에서 임의로 코드를 실행하거나 시스템을 장악하는 데 악용할 수 있는 것으로 알려졌다.

PHP는 웹사이트를 만드는 데 쓰는 프로그래밍 언어다. 예컨대 인터넷 쇼핑몰에서 상품명을 입력하고 검색 버튼을 누르면, 웹사이트를 운영하는 컴퓨터인 ‘서버’가 해당 상품을 찾아 결과를 보내준다. 웹 기술 분석업체 W3Techs에 따르면 사용된 프로그래밍 언어를 식별할 수 있는 웹사이트의 75%가량은 PHP를 사용한다.

전체 웹사이트의 43%가량 이용하는 웹사이트 제작·관리 시스템 워드프레스도 PHP를 기반으로 작동한다. 여기서 보안 결함이 발견되면 여러 사이트가 동시에 공격 위험에 노출될 수 있다. 다만 PHP를 쓴다고 모두 해킹당했다는 뜻은 아니다. 실제 위험은 보안 업데이트 여부와 서버 환경 등에 따라 달라진다.

10년 넘게 드러나지 않았던 이번 취약점을 발견하는 데는 인공지능(AI)이 결정적인 역할을 했다. 사이버보안업체 캘리프는 오픈AI의 ‘GPT-5.6 솔(Sol)’을 이용해 보안 취약점을 찾아냈고, 구글 계열 사이버보안업체 위즈도 독자적으로 2건의 허점을 발견해 신고했다. 과거에도 잠재적인 문제로 지적됐지만 실제 공격에 악용하기는 어려울 것으로 여겨졌던 결함이다.

아미 루트와크 위즈 공동창업자는 “AI가 발견한 보안 취약점 가운데 역대 가장 심각하다”며 “AI가 없었다면 발견하기에 지나치게 복잡했을 것”이라고 지적했다. 오픈AI도 “이번 결함의 심각성과 PHP의 광범위한 사용을 고려할 때 최근 들어 가장 파급력이 큰 보안 취약점 중 하나로 평가한다”고 강조했다.

PHP 개발진은 당초 22일 보안 패치를 공개할 예정이었지만, 온라인 게시판에 관련 정보가 유출되자 배포를 하루 앞당겼다. 그러나 보안 패치가 배포되기 전부터 일부 해커들이 취약점을 악용한 공격을 시도한 것으로 알려지면서 우려가 확산하고 있다.

실제로 네덜란드와 핀란드 등 일부 유럽 국가의 정부 기관들은 예방 차원에서 웹사이트 운영을 중단했으며, 유럽과 일본, 호주 등의 사이버보안 당국도 긴급 업데이트를 권고했다. 미 국가안보국(NSA)도 이날 소셜미디어(SNS) 엑스(X·옛 트위터)를 통해 “스템에 PHP를 사용하는 모든 기관과 기업은 업데이트를 준비할 것을 권고한다”며 즉각적인 업데이트가 불가능하다면 취약점이 완전히 해결될 때까지 해당 시스템을 오프라인 상태로 전환할 것을 당부했다.