AI로 프로그래밍 언어 결함 발견
취약점 악용 땐 서버 장악 위험

전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 인증 없이 시스템을 장악할 수 있는 치명적인 보안 취약점이 발견되자 정부는 22일 관련 기업에 보안 조치를 안내하는 등 긴급 대응에 나섰다. 사진은 정부세종청사 과학기술정보통신부 사이버침해대응과 사무실. 연합뉴스

전 세계 웹사이트에서 광범위하게 사용되는 프로그래밍 언어 ‘PHP’에서 치명적인 보안 취약점이 발견돼 각국 기업과 정부 기관에 비상이 걸렸다. 인공지능(AI)을 활용해 10년 넘게 확인되지 않았던 결함을 찾아냈지만, 보안 패치가 공식 배포되기 전 관련 정보가 잇따라 유출되면서 AI를 활용한 해커들의 공격 위험도 커지고 있다.

21일(현지 시간) 월스트리트저널(WSJ)과 로이터통신 등에 따르면 PHP 개발진은 이날 두 건의 심각한 보안 취약점을 수정한 새 버전을 긴급 공개했다. 이번 결함은 해커가 별도의 로그인이나 인증 절차 없이 외부에서 임의로 코드를 실행하거나 시스템을 장악할 수 있는 취약점으로 알려졌다.

PHP는 웹사이트의 로그인과 게시판, 온라인 쇼핑몰의 주문 조회 등 각종 기능을 구현하는 프로그래밍 언어다. 이용자의 요청을 서버에서 처리한 뒤 결과를 웹브라우저로 보내주는 역할을 한다. 웹 기술 분석업체 W3Techs에 따르면 사용된 프로그래밍 언어를 식별할 수 있는 웹사이트의 약 75%가 PHP를 사용하고 있다. 전체 웹사이트의 약 43%가 활용하는 제작·관리 시스템 워드프레스도 PHP를 기반으로 작동한다.

그만큼 이번 취약점이 정보 유출이나 악성코드 설치, 서비스 중단 등 광범위한 피해로 이어질 수 있다는 우려가 나온다.

이번 결함을 찾아내는 데는 AI가 결정적인 역할을 했다. 사이버보안업체 캘리프는 오픈AI의 모델 ‘GPT-5.6 솔(Sol)’을 활용해 취약점을 발견했으며, 구글 계열 사이버보안업체 위즈도 독자적으로 두 건의 결함을 확인해 신고했다. 해당 취약점은 수년간 PHP 코드에 존재했지만 실제 공격에 악용하기는 어려울 것으로 여겨져 왔다.

위즈 공동창업자인 아미 루트와크는 “AI가 발견한 보안 취약점 가운데 역대 가장 심각하다”며 “AI가 없었다면 발견하기에 지나치게 복잡했을 것”이라고 평가했다. 오픈AI도 성명을 통해 “이번 결함의 심각성과 PHP의 광범위한 사용을 고려할 때 최근 들어 가장 파급력이 큰 보안 취약점 중 하나로 평가한다”고 밝혔다.

문제는 보안 패치 공개 과정에서 잇따라 정보가 유출됐다는 점이다. PHP 개발진은 당초 22일 패치를 배포할 계획이었으나 지난 20일 온라인에 관련 정보가 퍼지면서 일정을 하루 앞당겼다. PHP 재단은 이날 패치 배포업체인 ‘체인가드’가 공식 배포 예정시간보다 약 6시간 이상 앞서서 패치가 적용된 이미지를 기습 공개했다고 밝혔다. 재단은 “체인가드가 일방적으로 엠바고를 깼다”며 비판했다. 여기에 다른 보안업체 ‘캘리프’가 실수로 취약점 공격 시연 영상을 공개했다가 삭제했다. 패치가 먼저 공개되면 해커들이 수정된 코드를 역분석해 공격 도구를 개발할 수 있기 때문이다.

네덜란드와 핀란드 등 일부 유럽 국가의 정부 기관들은 예방 차원에서 웹사이트 운영을 중단했으며, 유럽과 일본, 호주 등의 사이버보안 당국도 긴급 업데이트를 권고했다. 한국 정부도 관련 기업에 보안 조치를 안내하는 등 긴급 대응에 나섰다.