1서울경제에 따르면 전 세계 웹사이트의 약 70%를 구동하는 프로그래밍 언어 PHP에서 인증 없이 코드를 실행할 수 있는 치명적 결함이 발견됐습니다.
2이 결함은 과거에도 알려졌지만 실제 악용은 어렵다고 여겨져 방치됐으나, AI 해킹 능력의 발전으로 현실적 위협이 됐습니다.
3패치 배포 과정에서도 정보 유출과 배포업체의 기습 공개가 겹쳐 공조가 깨졌습니다.
4네덜란드, 핀란드, 일본 등 각국 정부는 즉각 패치가 어려우면 웹사이트를 오프라인으로 전환하라고 권고했습니다.
어떻게 볼까요?
취향대로 골라보세요 — 같은 기사를 네 가지 방식으로 만나요
패치 예정일 6시간 전에 코드가 먼저 풀렸거든요, PHP 공조 실패의 전말이에요 🧩
평소 안 쓰던 홈페이지가 갑자기 접속 안 되는 걸 보셨나요? 네덜란드 항만부터 일본 재무성까지, 이유는 하나의 프로그래밍 언어였어요. AI가 찾아낸 결함 하나에 각국 정부가 사이트 폐쇄라는 꽤 극단적인 선택을 했는데, 그 뒷얘기가 꼬여 있어요.
01/ 04📰 소식무슨 결함이 발견된 건가요?
PHP 개발진이 로그인 없이 외부에서 임의 코드를 실행할 수 있는 치명적 결함 두 건, 이른바 'PHP2Shell'을 수정한 새 버전을 긴급 공개했어요. PHP는 워드프레스와 위키피디아 같은 플랫폼을 포함해 전 세계 웹사이트의 약 70%를 구동하는, 말 그대로 '웹의 중추'예요. 과거에도 비슷한 문제가 지적됐지만 실제 악용은 어렵다고 여겨져 방치됐던 결함이에요. 그런데 상황이 달라졌어요.
02/ 04🔍 실체AI가 왜 갑자기 위협이 됐나요?
결함 자체는 새롭지 않지만, AI의 해킹 능력이 급속히 발전하면서 현실적 위협으로 바뀌었어요. 사이버보안업체 캘리프는 오픈AI 모델 'GPT-5.6 솔'을 이용해 취약점을 찾아냈고, 구글 계열 위즈도 독자적으로 두 건을 발견해 신고했어요. 위즈 공동창업자 아미 루트와크는 "AI가 없었다면 발견하기에 지나치게 복잡했을 것"이라고 평가했어요. 오픈AI도 "최근 들어 가장 파급력이 큰 보안 취약점 중 하나"라고 자평했어요.
03/ 04💸 숫자패치는 왜 하루 빨리, 그리고 또 왜 더 빨리 풀렸나요?
PHP 개발진은 당초 10월 22일로 잡았던 패치 공개를, 20일 온라인에 정보가 유출되면서 하루 앞당겨 21일 공개했어요. 그런데 패치 배포업체 체인가드가 공식 예정 시간보다 약 6시간 이상 앞서 패치 적용 이미지를 기습 공개해 버렸어요. 정식 업데이트 전에 해커들에게 코드를 분석할 시간을 먼저 준 셈이에요. PHP 재단은 "공조 공개를 위한 수 주간의 노력을 무시한 행위"라며 체인가드를 강하게 비판했어요.
04/ 04⚠️ 다른 시각이번 공조 실패, 누구 책임이 더 큰가요?
패치 공개 과정의 혼선을 두고 책임 소재가 엇갈려요.
PHP 재단
체인가드가 일방적으로 엠바고를 깨 공조 공개 노력을 무시했고, 캘리프도 공격 시연 영상을 실수로 올렸다가 지웠다며 공격 도구 개발을 가속했다고 지적해요.
내부 책임론
PHP 개발진이 2024년 외부 보안 감사에서 이미 결함 징후를 포착했음에도 내부 합의 난항과 호환성 우려로 패치 작업이 표류했다는 사실도 드러났어요.
외부 유출과 내부 지연 중 어느 쪽이 더 큰 구멍이었는지는 평가가 갈려요.
💡 한 가지만 기억한다면
방치됐던 오래된 결함도 AI 앞에서는 더 이상 안전하지 않다는 게 핵심이에요. 즉각 패치가 어렵다면 사이트를 잠시 멈추는 것도 각국이 택한 현실적 대응이었어요.
🗳️ 투표 이번 사태를 보고 가장 먼저 든 생각은?
하나를 고르면 다른 독자들의 선택을 볼 수 있어요
✍️ 에디터 노트
왜 2024년에 포착된 징후가 2년 가까이 방치됐을까요. 호환성 우려와 내부 합의 지연이 쌓이는 사이, AI가 먼저 그 틈을 찾아낸 셈이에요.
새벽에 올린 공지사항 하나 때문에, 정부 사이트가 통째로 문을 닫았습니다. 왜 그랬을까요.
같은 뉴스, 네 가지 시선. AILENS입니다. 이천이십육년 십월 이십일, 현지 시간 기준으로 벌어진 일입니다.
로테르담 항만 홈페이지가 열리지 않습니다. 네덜란드축구협회 사이트도, 병원 사이트도 마찬가지입니다. 이용자들은 그냥 "접속 안 된다"고만 알고 있을 겁니다.
그런데 이게 서버가 고장 난 게 아닙니다. 담당자들이 일부러 끈 겁니다.
왜 멀쩡한 사이트를 직접 내렸을까요. 답은 PHP라는 이름에 있습니다. 전 세계 웹사이트, 열에 일곱이 이 프로그래밍 언어로 돌아갑니다. 워드프레스도, 위키피디아도 다 PHP 위에 있습니다. 그런데 이 PHP에서 치명적인 결함이 발견됐습니다. 로그인도, 인증도 없이 외부에서 바로 코드를 실행할 수 있는 결함입니다. 이름도 붙었습니다. PHP투셀, 피에이치피 투 쉘입니다.
네덜란드와 핀란드의 정부 기관들이 선택한 건 이거였습니다. 일단 끄고 보자. 당장 고칠 수 없다면, 열어놓고 뚫리느니 닫아놓고 버티자는 겁니다. 판단이 아니라 상황이 그렇게 몰고 간 겁니다.
이게 네덜란드와 핀란드만의 일이 아닙니다. 덴마크도, 일본도, 미국도 같은 경고를 냈습니다. 미 국가안보국은 엑스를 통해 "즉각 업데이트가 불가능하면 오프라인으로 전환하라"고 밝혔고, 연방수사국도 같은 권고를 내놨습니다. 일본의 다카이치 사나에 총리는 이날 밤 직접 엑스에 "매우 시급하다"며, 운영 중인 사이트에서 패치를 신속히 적용하라고, 그게 어렵다면 일시 정지도 효과적인 방법이라고 적었습니다. 한 나라, 한 기관의 일이 아니라 PHP를 쓰는 모든 곳의 일이 된 겁니다.
그런데 이 결함, 사실 새로운 게 아니었습니다. 예전부터 알고는 있었던 문제입니다. 다만 실제로 악용하기엔 너무 복잡하다고, 그래서 당장 손댈 일은 아니라고 여겨졌을 뿐입니다.
이 판단을 뒤집은 게 에이아이입니다. 보안업체 캘리프는 오픈에이아이의 모델을 이용해 이 취약점을 찾아냈습니다. 구글 계열의 위즈도 독자적으로 두 건을 발견해 신고했습니다. 위즈의 공동창업자 아미 루트와크는 "에이아이가 발견한 보안 취약점 가운데 역대 가장 심각하다"며, "에이아이가 없었다면 발견하기에 지나치게 복잡했을 것"이라고 말했습니다. 오픈에이아이 쪽도 성명으로 "최근 들어 가장 파급력이 큰 보안 취약점 중 하나"라고 평가했습니다. 복잡해서 안전하다고 믿었던 자물쇠를, 에이아이가 열어본 셈입니다.
다만 더 눈에 걸리는 지점은 다른 데 있습니다. 패치를 배포하는 과정에서 생긴 문제입니다. PHP 개발진은 당초 하루 뒤에 패치를 공개할 계획이었습니다. 그런데 관련 정보가 온라인에 먼저 돌면서 일정을 하루 앞당겼습니다. 그마저도 순서대로 되지 않았습니다. 패치 배포업체 체인가드가 공식 예정 시간보다 여섯 시간 넘게 앞서 패치가 적용된 이미지를 먼저 공개해버린 겁니다.
PHP 재단은 이를 두고 "체인가드가 일방적으로 엠바고를 깼다"며, "공조 공개를 위해 수많은 주체가 수 주 동안 기울인 노력을 무시한 행위"라고 강하게 비판했습니다. 여섯 시간이면 별일 아닐 것 같지만, 해커들에게는 코드를 먼저 뜯어볼 시간이 생긴 셈입니다. 패치가 나왔다는 건 역으로 그 패치가 무엇을 고쳤는지, 어디가 약점이었는지 알려주는 지도이기도 하거든요.
여기에 다른 보안업체가 공격 시연 영상을 실수로 올렸다가 지운 일까지 겹쳤습니다. PHP 재단은 이 또한 해커들의 공격 도구 개발을 가속시켰다고 지적했습니다.
그리고 이 결함, 사실 처음 포착된 게 이번이 아닙니다. 이천이십사년 외부 보안 감사에서 이미 일부 징후가 잡혔던 결함입니다. 다만 개발진 내부에서 합의가 안 됐고, 기존 프로그램과의 호환성 우려도 있어서 패치 작업이 표류했다는 내막이 이번에 함께 드러났습니다.
남는 질문은 이겁니다. 2년 전에 알았던 문제를, 왜 그때는 고치지 못했을까. 그리고 지금처럼 에이아이가 보안 취약점을 더 빠르게 찾아내는 시대에, 공개와 패치의 속도는 어떻게 맞춰가야 할까. 이번 사례처럼 공조가 깨지는 일이 또 반복된다면, 그다음엔 여섯 시간이 아니라 더 긴 틈이 열릴 수도 있습니다. 이건 PHP 재단이나 체인가드 중 누구의 잘못이라고 간단히 정리할 문제가 아니라, 아직 업계 전체가 풀어야 할 숙제로 남아 있습니다.
정리하면, 오늘 핵심은 이겁니다. 복잡해서 안전하다고 믿었던 결함이, 에이아이 앞에서는 더 이상 안전하지 않다는 것. 그리고 그 결함을 고치는 과정조차 사람들 사이의 공조가 흔들리면 똑같이 뚫릴 수 있다는 것입니다. PHP를 기반으로 운영 중인 웹사이트가 있다면, 패치 적용 여부를 확인하는 게 먼저입니다.
