AI가 10년만에 찾은 허점… 전세계 인터넷 해킹 비상

국내 취약 서버 11만곳 추정
민간 사이버위기 경보 상향
각국 사이트 줄줄이 셧다운

챗GPT로 그린 일러스트.

웹사이트를 구동하는 프로그래밍 언어 ‘PHP’에 10년 넘게 잠복해 있던 치명적 보안 구멍이 인공지능(AI)을 활용한 연구로 드러났다. 해커가 로그인 없이 서버를 장악할 수 있는 취약점이다. 긴급 패치가 나왔지만 공격 시도가 잇따르면서 각국 정부와 기업이 예방 차원에서 웹사이트를 닫는 등 비상이 걸렸다.

청와대 국가안보실도 송기호 3차장 주재로 22일 민·관·군 사이버 안보 긴급대책 회의를 열고 공공·민간·국방 등 부문별 PHP 사용 현황과 조치 상황을 점검했다. 보안 업데이트를 신속히 적용하기 어려운 웹사이트에 대한 임시 보호 조치 등도 논의했다.

PHP는 워드프레스·그누보드 등 홈페이지 제작 도구의 기반이다. 웹 기술 조사업체 W3테크스에 따르면 22일 기준 서버 측 사용 언어가 확인되는 전 세계 웹사이트의 69.3%가 PHP를 쓴다. 같은 기준으로 서버가 한국에 있는 웹사이트에서는 이 비율이 82.7%에 달한다. 안랩은 국내에서 취약한 버전을 쓰는 것으로 추정되는 호스트가 약 11만건으로 세계에서 여섯째로 많은 것으로 파악했다.

‘PHP투셸’(PHP2Shell)로 불리는 이번 취약점 2건은 메모리 부족 같은 오류를 처리하는 과정에서 발생한다. 홈페이지를 안전하게 개발했더라도 이를 실행하는 PHP 자체가 취약하면 공격받을 수 있다. 서버 장악과 메모리 속 민감정보 탈취가 가능하고, 2012년 나온 PHP 5.4 이후 나온 거의 모든 버전이 영향을 받는다. 미국 보안업체 캘리프는 오픈AI ‘GPT-5.6 솔’ 모델로, 위즈는 구글 ‘제미나이 4 아르곤’ 모델로 이 같은 사실을 발견했다.

PHP 개발진이 21일(이하 현지시간) 긴급 업데이트를 배포했지만 공격은 이미 급증하고 있다. 당초 22일 예정이던 보안패치 공개가 20일 정보 유출로 앞당겨지며 혼란을 가중시켰다. 매슈 프린스 클라우드플레어 최고경영자(CEO)는 취약점 공개 전 10시간 동안 수천 건이던 공격 시도가 공개 후 2시간 만에 수십만건, 이후 수백만 건으로 늘었다고 밝혔다. 또 아마존웹서비스(AWS)는 공개 나흘 전(17일)에도 공격 유인용 시스템에서 악용 시도를 포착했다고 발표했다.

피해 예방을 위한 서비스 중단도 이어졌다. 미 국가안보국(NSA)과 영국 국가사이버보안센터(NCSC) 등은 즉시 패치가 어려우면 시스템을 오프라인으로 돌리라고 권고했다. 핀란드·독일·프랑스 등의 정부 기관이 웹서비스를 일시 중단했다. 다카이치 사나에 총리가 직접 보안조치 독려에 나선 일본은 재무성과 미쓰비시UFJ금융그룹 등이 일부 서비스를 멈췄다.

국내에서는 과학기술정보통신부와 한국인터넷진흥원(KISA)이 정보보호최고책임자(CISO) 신고 기업 2만8000여곳 등에 긴급 보안조치를 안내했다. 개인정보보호위원회도 이날 웹서버 침해가 연결된 데이터베이스(DB)의 개인정보 대량 유출로 번질 수 있다고 경고했다. 운영자는 홈페이지 프로그램만 업데이트할 게 아니라 PHP 자체에 보안 패치를 적용하고 관련 서비스를 재시작해야 한다. 외주·호스팅 업체가 관리하는 시스템도 조치 여부를 확인해야 한다.

배경훈 부총리 겸 과기정통부 장관은 “이번 PHP 취약점은 국내 수많은 홈페이지에 영향을 줄 수 있고, 공격코드까지 이미 공개된 만큼 매우 시급한 대응이 필요하다”고 말했다.

송 차장은 “이번에 공개된 취약점은 인증 없이도 서버를 장악할 수 있고 이미 해외에서는 공격 시도가 보고되고 있어 얼마나 빨리 조치하느냐가 피해 규모를 좌우한다”며 “민·관·군이 ‘원팀’으로 신속하게 조치를 완료해 달라”고 당부했다.

팽동현 기자 dhp@dt.co.kr