전 세계 웹 70%가 돌아가는 PHP에서 인증 없이 시스템 장악 가능한 결함이라고요 🕸️

새벽에 올라온 글 하나가, 전 세계 웹사이트 열 곳 중 일곱 곳을 흔들어 놓았습니다. 왜 이런 일이 벌어졌을까요.

같은 뉴스, 네 가지 시선. AILENS입니다. 2026년 10월 21일, 그러니까 이 소식이 처음 전해진 바로 그날을 기준으로 이야기를 시작하겠습니다.

새벽, 네덜란드 로테르담 항만의 관리자가 사내 메신저를 확인합니다. 대외용 웹사이트를 당장 내리라는 지시가 떠 있습니다. 병원 홈페이지도, 정부 포털도, 축구협회 사이트도 같은 시각 접속이 끊깁니다.

이 모든 일이 벌어진 이유는 하나입니다. 웹사이트 개발에 쓰이는 프로그래밍 언어, 피에이치피에서 치명적인 결함 두 건이 발견됐기 때문입니다. 업계에서는 이걸 피에이치피투셸이라고 부릅니다. 로그인도, 인증도 없이 외부에서 바로 시스템을 장악할 수 있는 결함입니다.

피에이치피는 전 세계 웹사이트의 약 70%를 구동합니다. 워드프레스도, 위키피디아도 이 언어 위에서 돌아갑니다. 그래서 '웹의 중추'라는 말을 듣는 언어입니다. 이 중추에 구멍이 났다는 게 이번 사안의 출발점입니다.

사실 이 결함, 전혀 새로운 게 아니었습니다. 과거에도 잠재적 위험으로 지적된 적이 있습니다. 다만 실제로 악용하기엔 너무 복잡하다는 게 그동안의 판단이었습니다. 그래서 별다른 조치 없이 넘어갔던 겁니다.

그 판단을 깬 건 인공지능이었습니다. 사이버보안업체 캘리프는 오픈에이아이의 모델을 이용해 이 취약점을 찾아냈습니다. 구글 계열의 위즈도 독자적으로 같은 결함 두 건을 발견해 신고했죠. 위즈의 공동창업자 아미 루트와크는 이렇게 말했습니다. 에이아이가 발견한 보안 취약점 가운데 역대 가장 심각하다고, 그리고 에이아이가 없었다면 발견하기엔 지나치게 복잡했을 거라고요.

오픈에이아이도 성명을 냈습니다. 이번 결함의 심각성과 피에이치피의 광범위한 사용을 고려하면, 최근 들어 가장 파급력이 큰 보안 취약점 중 하나라는 평가였습니다.

여기서 생각해볼 지점이 있습니다. 지금까지 보안이라는 건 '복잡해서 뚫기 어렵다'는 전제 위에 서 있던 부분이 꽤 있었습니다. 그런데 그 전제 자체가 흔들리고 있는 겁니다. 복잡함이 더는 방패가 되지 못하는 시대로 넘어가고 있다는 뜻이죠.

문제는 결함 발견에서 끝나지 않았습니다. 패치를 배포하는 과정에서 두 번째 사고가 터졌습니다.

피에이치피 개발진은 원래 10월 22일에 패치를 공개할 계획이었습니다. 그런데 20일, 관련 정보가 온라인 게시판에 유출됐습니다. 그래서 일정을 하루 앞당겨 21일로 당겼습니다.

그런데 패치 배포업체인 체인가드가, 공식 배포 예정 시간보다 여섯 시간 넘게 앞서서 패치가 적용된 이미지를 기습 공개해버렸습니다. 정식 업데이트가 아직 세상에 나오기 전이었습니다. 해커들에게 코드를 먼저 들여다볼 여섯 시간을 내준 셈입니다.

피에이치피 재단은 강하게 반발했습니다. 체인가드가 일방적으로 엠바고를 깼다고, 공조 공개를 위해 여러 주체가 수 주 동안 기울인 노력을 무시한 행위라고 비판했습니다. 여기에 다른 보안업체 캘리프가 공격 시연 영상을 실수로 올렸다가 지우는 일까지 겹치면서, 해커들의 공격 도구 개발 속도가 한층 빨라졌다는 게 재단의 지적입니다.

다만 다른 측면도 있습니다. 이 결함, 사실 처음 나온 게 아니었다는 점입니다. 피에이치피 개발진은 2024년 외부 보안 감사에서 이미 관련 결함의 징후를 포착한 바 있습니다. 하지만 개발진 내부의 합의가 쉽지 않았고, 기존 프로그램과의 호환성 우려도 있어서 패치 작업이 표류했습니다. 2년 가까운 시간 동안, 알고는 있었지만 손을 대지 못했던 문제였던 셈입니다.

그래서 지금 남는 질문은 이겁니다. 이번 사태를 그저 '유출 사고' 하나로만 볼 수 있을까요.

각국의 대응은 이례적일 정도로 신속했습니다. 네덜란드와 핀란드 정부 기관들은 예방 차원에서 웹사이트 운영을 먼저 중단했습니다. 유럽연합은 패치 적용이 여의치 않으면 사이트를 오프라인으로 전환하라고 공지했습니다.

미 국가안보국은 엑스를 통해, 피에이치피를 쓰는 모든 기관과 기업은 업데이트를 준비하라고 권고했습니다. 즉각적인 업데이트가 불가능하다면 시스템을 아예 오프라인으로 돌리라는 당부까지 덧붙였습니다. 연방수사국도 같은 취지의 경고를 냈습니다.

일본의 다카이치 사나에 총리는 21일 밤 직접 엑스에 글을 올렸습니다. 매우 시급하다며, 운영 중인 사이트에서 피에이치피를 쓰고 있는지 확인하고 그날 밤 11시에 공개될 패치를 신속히 적용해달라고 당부했습니다. 여의치 않으면 사이트를 일시 정지하는 것도 효과적인 방법이라고 말했죠. 일본 재무성은 실제로 홈페이지 일부 서비스를 멈췄습니다.

정리하면, 오늘 핵심은 이겁니다. 복잡해서 안전하다고 믿었던 틈을, 인공지능이 메우고 들어왔다는 것. 그리고 그 틈을 막는 과정에서, 사람들의 공조는 여전히 허술할 수 있다는 것입니다.

패치는 나왔습니다. 하지만 이걸 적용하는 속도와, 공조가 깨졌을 때의 대응 체계는 여전히 숙제로 남아 있습니다. 다음에 비슷한 결함이 나왔을 때, 같은 실수를 반복하지 않을 수 있을지는 아직 누구도 답하지 못했습니다.

같은 뉴스, 네 가지 시선. AILENS였습니다.