AI, ‘치명적 결함’ 어떻게 발견했나

PHP, 웹서비스에 쓰는 서버 측 개발 언어

10년 넘도록 확인되지 않았던 보안 결함

AI, 논리결함 엮어 공격 코드 거꾸로 설계

패치 나와도 늦은 현장 적용문제 개선 시급

AI발 사이버보안 ‘창과 방패’ 치열한 속도전

22일 그동안 잠재적 버그로 취급됐던 PHP의 취약점이 AI를 통해 위험성이 부각되면서 AI발 보안 논쟁에 다시 불이 붙었다. 취약점을 먼저 찾아내고 이를 방어하는 AI 보안 ‘창과 방패’의 속도전이 치열해지고 있다. [게티이미지뱅크]
22일 그동안 잠재적 버그로 취급됐던 PHP의 취약점이 AI를 통해 위험성이 부각되면서 AI발 보안 논쟁에 다시 불이 붙었다. 취약점을 먼저 찾아내고 이를 방어하는 AI 보안 ‘창과 방패’의 속도전이 치열해지고 있다. [게티이미지뱅크]

10년 넘게 확인되지 않았던 PHP의 치명적인 보안 취약점이 인공지능(AI)을 활용해 발견된 것으로 알려지면서 AI발 사이버보안 논쟁이 더욱 뜨거워지고 있다.

2년 전까지만 해도 ‘잠재적 버그’였던 PHP의 취약점이 AI를 통해 치명적인 취약점으로 발견되면서 AI발 보안 논쟁에 다시 불이 붙고 있다. 취약점을 먼저 찾아내고 이를 방어하는 AI 보안 ‘창과 방패’의 속도전이 치열해지고 있다는 분석이다.

▶전 세계 보안 비상…PHP가 뭐길래=이번 치명적인 보안 취약점이 발견된 PHP는 기업 웹사이트와 콘텐츠 관리 시스템, 전자상거래 플랫폼 등 다양한 웹서비스에 쓰이는 서버 측 개발 언어다.

이용자가 웹사이트에서 요청한 작업을 서버에서 처리하고 그 결과를 웹브라우저로 보내주는 역할을 한다. 웹사이트 운영 서버에서 실행되는 것이 특징이다.

온라인 쇼핑몰에서 주문 내역을 조회하면 서버가 PHP로 작성된 프로그램을 실행해 데이터베이스에서 해당 정보를 찾아 이용자에게 보여준다. 게시판에 글을 쓰거나 댓글을 불러오는 기능도 이런 방식으로 구현할 수 있다.

PHP는 1995년 덴마크계 캐나다인 프로그래머 라스무스 러도프가 처음 공개했다. 자신의 온라인 이력서 방문 기록을 관리하기 위해 만든 도구에서 출발했다.

초기에는 ‘개인 홈페이지 도구’라는 뜻으로 불렸으나 기능이 확대되면서 현재는 ‘PHP: 하이퍼텍스트 프리프로세서(Hypertext Preprocessor)’라는 명칭을 사용한다.

이번 취약점 발견이 전 세계에 충격으로 다가온 것은 PHP가 웹사이트에 상당수 사용되고 있다는 점 때문이다.

월스트리트저널(WSJ)과 로이터통신 등 외신에 따르면 웹 기술 분석업체 W3Techs 기준 웹사이트의 약 75%가 PHP를 사용하고 있으며, 전체 웹사이트의 약 43%가 쓰는 워드프레스도 PHP를 기반으로 작동한다. 블로그와 쇼핑몰, 기업 홈페이지 등 다양한 웹사이트에도 활용된다.

보안 업계는 PHP 실행 환경에 취약점이 생기면 기업과 정부 기관, 개인의 웹사이트가 함께 위협에 노출될 수 있는 점을 우려하고 있다.

특히 공격자가 서버에서 임의로 명령을 실행할 수 있는 결함은 정보 유출이나 악성코드 설치, 서비스 중단 등으로 이어질 수 있다.

▶발견되지 않은 취약점, AI가 발견…어떻게 뚫었나=이번 취약점은 AI를 활용해 발견됐으며, 10년 넘게 확인되지 않았던 보안 결함으로 평가된다.

확인된 취약점은 ▷예외 상황을 제대로 처리하지 못하는 ‘부적절한 예외 상황 처리’(Improper Handling of Exceptional Conditions, CVE-2026-109618) 취약점과 ▷이미 해제된 메모리를 다시 참조하는 ‘해제 후 사용’(Use After Free, CVE-2026-109619) 취약점 등 2건이다.

PHP 재단에 따르면 이 결함은 2024년 독일 ‘소버린 테크 펀드’(STF)의 지원으로 진행된 보안 감사에서 처음 포착됐다.

당시 개발진은 메모리 부족(OOM) 상황을 처리하는 과정에서 생길 수 있는 결함을 확인하고 수정 방안을 논의했다. 그러나 만장일치 합의로 결정하는 구조 탓에 결론을 내지 못했고, 기존 라이브러리와의 호환성이 깨질 수 있다는 우려와 성능 저하 논란까지 겹치면서 패치는 보류됐다.

상황이 바뀐 건 지난 8월이다. 미국 보안업체 캘리프(Calif) 연구진이 오픈AI의 ‘GPT-5.6 솔’로 PHP 코드를 분석했고, 오픈AI 보안팀도 별도 연구에서 같은 결함을 찾아냈다. 이 결함은 8월 11일 PHP 재단에 신고됐다.

2년 전까지만 해도 잠재적 버그 정도로 여겨지던 결함이 AI 분석을 통해 실제 시스템 침투 경로로 확인된 것이다.

보안업계에서는 이번 사태를 AI가 보안 취약점과 대응점을 경쟁적으로 찾아내는 ‘창과 방패’ 속도전이 본격화 한 것으로 해석하고 있다.

AI가 여러 논리 결함을 엮어 공격 코드를 거꾸로 설계해내는 수준까지 도달했다는 분석이다.

결국 전 세계 보안 업계는 보안 결합을 먼저 찾아 대응책을 마련하는 것이 시급한 과제가 됐다. 오픈AI도 분석 결과를 공개하면서 고성능 추론 모델이 취약점을 빨리 찾아내는 만큼 공격자가 악성 도구를 만드는 기간도 크게 줄일 수 있다고 경고했다.

패치가 나와도 현장 적용이 늦어지는 고질적인 문제를 개선하는 것도 시급한 과제로 꼽힌다.

기업이나 기관이 기존 시스템과의 호환성을 이유로 업데이트를 미룰 경우 취약점은 그대로 남는 만큼 정부 차원의 발 빠른 조치와 기업들의 대응이 필요하다는 목소리가 커지고 있다.

한편, PHP 개발진은 당초 22일 보안 패치를 공개할 계획이었지만, 지난 20일 온라인 게시판에 관련 정보가 유출되면서 배포 일정을 하루 앞당겼다.

그러나 보안 패치가 배포되기 전부터 일부 해커들이 취약점을 악용한 공격을 시도한 것으로 알려지면서 우려가 확산하고 있다. 미 연방수사국(FBI)은 “해커들이 PHP에서 원격으로 코드를 실행할 수 있다”면서 민감한 데이터와 네트워크가 침해될 위험이 커졌다고 경고했다.

이에 네덜란드와 핀란드, 벨기에, 덴마크 등 일부 유럽 국가의 정부 기관들은 예방 차원에서 정부기관 웹사이트 접속을 차단했다. 유럽과 일본, 호주 등의 사이버보안 당국도 긴급 업데이트를 권고했다. 박세정 기자


sjpark@heraldcorp.com