전 세계 웹사이트 70%가 쓰는데…PHP 보안 결함에 해킹 비상

美 국가보안국 "업데이트 불가하면 오프라인 전환해야"
유럽 각국도 연달아 웹사이트 운영 중단

전 세계 웹사이트의 70%에서 사용되는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견돼 전 세계에 해킹 비상이 걸렸다. 미국 정부가 즉각적인 보안 업데이트를 권고한 가운데 유럽에서는 정부 기관과 주요 공공서비스의 웹사이트 운영이 잇따라 중단되는 등 파장이 확산하고 있다. 이번 취약점은 인공지능(AI)을 활용해 발견한 것으로, 향후 기술 발전이 오히려 사이버 공격 위험을 키울 수 있다는 우려가 나온다.

21일(현지시간) 월스트리트저널(WSJ)에 따르면 미국 국가안보국(NSA)은 이날 엑스(X·옛 트위터)를 통해 "시스템에 PHP를 사용하는 모든 기관과 기업은 보안 업데이트를 준비할 것을 권고한다"며 즉각적인 업데이트가 불가능하다면 취약점이 완전히 해결될 때까지 해당 시스템을 오프라인으로 전환할 것을 당부했다. 미 연방수사국(FBI)도 해커들이 PHP 보안 결함을 악용해 외부에서 서버에 침입할 가능성이 커졌다고 경고했다.

21일(현지시간) 독일 베를린의 한 컴퓨터 서버에 장착된 하드 디스크. 사이버 보안 기관들은 PHP가 보안 패치를 준비하는 동안 웹사이트가 접속 불가 상태가 될 수 있다고 전했다. 베를린(독일)=로이터 연합뉴스.

유럽에서는 예방적 차원의 웹사이트 운영 중단이 잇따랐다. 네덜란드에서는 정부 포털사이트와 로테르담 항만, 축구협회, 주요 정당 및 병원 웹사이트 등의 서비스가 중단됐다. 핀란드 정부도 공공 네트워크 서비스를 일시 중단했으며, 벨기에 외무부와 지방정부, 덴마크의 공립학교 소통 플랫폼 등도 접속을 차단했다. 독일과 프랑스, 체코 등에서도 일부 정부 웹사이트가 예방적 차원에서 오프라인으로 전환됐다.

업계에서도 이번 취약점의 심각성을 강조하고 있다. 오픈AI도 이날 성명을 통해 "이번 결함의 심각성과 PHP의 광범위한 사용을 고려할 때 최근 들어 가장 파급력이 큰 보안 취약점 중 하나로 평가한다"고 밝혔다.

PHP는 웹사이트 운영에 널리 사용되는 무료 오픈소스 프로그래밍 언어로, 이용자가 웹페이지에 접속하면 서버에서 콘텐츠를 조합해 화면에 표시하는 역할을 한다. IT 분석업체 W3Techs에 따르면 전 세계 웹사이트의 약 70%가 PHP를 기반으로 작동한다.

이번에 발견된 취약점은 두 개로, 보안업계에서는 'PHP2Shell'로 불린다. 서버의 메모리 처리 과정에서 발생하는 것으로, 해커가 별도의 로그인이나 인증 절차 없이 서버에 들어와 임의 명령을 실행할 수 있는 취약점이다. 공격에 성공하면 개인정보 탈취, 서버 장악 등으로 이어질 수 있다고 로이터통신은 설명했다. 심지어 국제 보안 취약점 평가 기준(CVSS)에서는 두 결함 모두 10점 만점에 9.2점을 받아 가장 높은 '치명적' 등급으로 분류됐다.

주목할 점은 이번 결함이 AI 연구 과정에서 발견됐다는 것이라고 WSJ는 전했다. 사이버보안업체 칼리프는 오픈AI의 'GPT-5.6 Sol'을 이용해 지난 8월11일 첫 번째 취약점을 신고했다. 구글 계열 보안업체 위즈도 AI를 활용해 같은 달 24일 두 번째 취약점을 신고했다. 과거부터 존재했던 결함이지만 악용 가능성을 입증하기 어려워 그동안 드러나지 않았던 것으로 알려졌다.

이에 PHP 개발진은 당초 22일로 예정됐던 보안 패치 배포를 하루 앞당겼다. 그러나 관련 정보가 사전에 유출되고 일부 해킹 시도까지 관측되면서 피해 확산 우려가 커지고 있는 것으로 알려졌다. 타이 즈엉 칼리프 최고경영자(CEO)는 WSJ에 "누군가 보안 패치를 AI로 분석해 해킹 공격 코드를 공개할 수도 있다"며 "그렇게 되면 걷잡을 수 없는 혼란이 벌어질 것"이라고 경고했다.

전진영 기자 jintonic@asiae.co.kr