"로그인 없이 다 털린다고?" 청와대 뒤집은 해킹 공포

AI가 발견한 PHP 취약점,
글로벌 IT업계 발칵, 국내도 즉각 대응
로그인 없이 서버 공격 가능 "PHP 보안 패치"

[이데일리 안유리 기자] 전 세계 웹사이트에 광범위한 영향을 미칠 수 있는 치명적인 보안 취약점이 발견되면서, 각국 정부와 글로벌 정보기술(IT) 업계가 긴급 대응에 나섰다.

22일 과학기술정보통신부는 PHP 취약점으로 인한 대규모 해킹 가능성에 민간 분야 사이버위기 ‘주의’ 경보를 발령하고, PHP를 이용한 홈페이지를 운영하는 국내 기업·기관에 즉시 보안 업데이트를 적용할 것을 당부했다.

글로벌 사이버 보안 업체 칼리프(Calif)가 오픈AI의 취약점 대응 프로그램 '패치 더 플래닛'(Patch the Planet)에 참여해 PHP 취약점을 발견했다. (사진=패치 더 플래닛 홈페이지 갈무리)

PHP는 웹사이트 개발에 널리 사용되는 프로그래밍 언어이다. 웹 기술 통계업체 W3Techs에 따르면 서버 측 프로그래밍 언어를 식별할 수 있는 전 세계 웹사이트의 약 69.3%가 PHP를 사용하고 있다.

이번에 발견된 취약점 2건은 PHP 자체의 보안 취약점으로, 개별 홈페이지를 안전하게 만들었음에도 영향을 받을 수 있다. 공격자가 아이디·비밀번호 없이 인터넷을 통해 특수하게 조작된 요청을 보내 서버에 원하는 명령을 실행하게 만들 수 있어 특히 위험하다.

과학기술정보통신부 배경훈 부총리는 “이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고, 공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다”고 말했다. 이해민 대통령비서실 AI미래기획 수석은 “이 상황을 매우 심각하게 보고 있다”면서 “관련 기관 대응책을 가동중이라는 것을 우선 알린다”고 말했다.

국내 IT업계도 즉각적인 대응에 나섰다. 가비아·카페24 등 국내 주요 호스팅 업체들도 PHP 취약점에 대응하기 위한 긴급 보안 패치를 진행했다고 공지했다. 보안 기업 스틸리언은 웹사이트 주소(URL) 입력만으로 취약점의 영향 여부를 점검할 수 있는 무료 온라인 서비스를 이날 공개했다.

사이버 보안 전문가들은 보안 인력이 부족하거나 홈페이지 운영을 외주 업체에 맡긴 중소기업과 소상공인의 웹사이트 보안을 우려했다. 업데이트 담당자가 불분명하거나 오래된 PHP 버전을 사용하는 경우 대응이 지연될 수 있기 때문이다. 정부는 소상공인 등은 이용 중인 호스팅 업체에 보안 업데이트 적용 여부를 확인할 것을 안내했다. 일반 국민에게는 백신 설치, 최신 보안 업데이트 등 기본적인 보안 수칙을 당부했다.

이번 취약점은 10년 동안 발견되지 않았던 취약점으로, 인공지능(AI)가 찾아냈다. 글로벌 사이버 보안 업체 칼리프(Calif)가 오픈AI의 글로벌 취약점 대응 프로그램 ‘패치 더 플래닛’(Patch the Planet)에 참여해 발견했다. 사용한 AI는 GPT 5.6 Sol이다. 구글 계열 보안업체 위즈(Wiz)도 별도 연구를 통해 취약점 2건을 발견하고 보고했다.

안유리 (inglass@edaily.co.kr)