인공지능(AI)이 웹 프로그래밍 언어 PHP에서 10년 넘게 숨어 있던 치명적 결함 2건을 찾아냈다. 결함이 공개되자 각국 정부는 웹사이트를 스스로 내리는 이례적 대응에 나섰다.
한국인터넷진흥원(KISA)은 21일 PHP 취약점 2건에 대한 보안 업데이트를 권고했다. 하나는 예외 상황을 제대로 처리하지 못하는 '부적절한 예외 상황 처리' 취약점(CVE-2026-109618)이다. 다른 하나는 이미 반납된 메모리를 다시 참조하는 '해제 후 사용' 취약점(CVE-2026-109619)이다. 두 결함은 국제 취약점 평가 기준 CVSS 4.0에서 각각 9.2점(10점 만점)을 받아 '치명적' 등급으로 분류됐다.
영향을 받는 버전은 현재 지원 중인 PHP 8.2·8.3·8.4·8.5 등 4개 계열이다. 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 미만이면 위험에 노출된다. PHP 개발팀은 한국시간 21일 밤 수정 버전을 긴급 배포하고 모든 이용자에게 즉시 업데이트를 권했다.
원인은 PHP가 요청을 처리하는 방식에 있다. PHP는 하나의 작업 프로세스가 여러 요청을 이어서 처리한다. 이때 앞선 요청이 쓰고 반납한 메모리 정보가 제대로 지워지지 않으면, 다음 요청이 이를 살아 있는 데이터로 착각한다. 메모리 한도 초과 같은 비정상 상황이 정리 작업을 끊을 때 이런 틈이 생긴다. 공격자는 이 틈을 이용해 별도 인증 없이 원격으로 악성 코드를 실행할 수 있다.
파급력이 큰 이유는 PHP의 점유율이다. 웹 기술 분석업체 W3Techs에 따르면 사용 언어를 식별할 수 있는 웹사이트의 약 75%가 PHP를 쓴다. 전체 웹사이트의 약 43%가 쓰는 워드프레스도 PHP 위에서 작동한다. 워드프레스 보안업체 워드펜스는 워드프레스 자동 업데이트로는 이번 수정이 적용되지 않는다며, 서버의 PHP 관리 주체부터 확인하라고 당부했다.
KISA는 공식 보안 지원이 끝난 8.1 이하 버전을 지원 버전으로 옮기라고 강조했다. PHP 측이 이번 사안에 한해 구버전용 임시 수정 코드를 내놨지만, 정규 업데이트 대상은 아니다.
취약점 세부 내용은 공식 패치 하루 전인 20일 온라인에 먼저 유출됐다. 로이터 등에 따르면 네덜란드와 핀란드 정부기관은 패치 공개 전 예방 차원에서 웹사이트를 내렸다. 네덜란드에서는 정부 포털과 로테르담항, 주요 정당, 병원 웹사이트까지 오프라인으로 전환됐다. 핀란드 국가 IT 서비스 기관도 공공 웹서비스를 중단했다. 덴마크·캐나다 등에서도 일부 서비스가 일시 중단된 것으로 전해졌다.
각국 보안 당국의 경보도 잇따랐다. EU 컴퓨터비상대응팀(CERT-EU)과 영국 국가사이버보안센터(NCSC)는 즉시 패치가 어려우면 시스템을 오프라인으로 돌리는 방안을 검토하라고 권고했다. 일본·호주 당국도 긴급 업데이트를 요청했다. 클라우드플레어는 초기 공격 시도가 나타나고 있다며 방화벽 규칙을 배포했다.
실제 피해 여부는 아직 불분명하다. 미국 사이버보안·인프라보안국(CISA)은 공지 시점까지 악용 사례를 관측하지 못했다고 밝혔다. 일부 보안업체도 공격 시도는 있었지만 성공 사례는 확인되지 않았다고 전했다.
이번 사태가 주목받는 또 다른 이유는 발견 경로다. 구글 계열 보안기업 위즈는 자체 AI 취약점 연구 도구와 구글·오픈AI의 AI 모델을 활용해 결함을 찾았다고 밝혔다. 미국 AI 레드팀 기업 캘리프도 오픈AI 프로그램을 통해 문제를 발견했다. 위즈는 이 결함이 10년 넘게 PHP 코드에 숨어 있었으며, 사람의 힘만으로는 찾기 극히 어려웠을 것이라고 설명했다.
AI가 낡은 인터넷 인프라의 허점을 찾아내는 '방패' 역할을 한 셈이다. 하지만 같은 도구가 공격자 손에 들어가면 패치가 퍼지기 전 빈틈을 파고드는 '창'이 될 수 있다는 우려도 나온다. 인터넷의 상당 부분은 비영리 재단이 관리하는 오픈소스 소프트웨어가 떠받치고 있다. 결함을 찾는 속도가 빨라진 만큼, 이제는 패치를 얼마나 빨리 적용하느냐가 보안의 승패를 가른다는 진단이 나온다.
국내 웹사이트 운영자는 먼저 서버의 PHP 버전을 확인해야 한다. 서버를 직접 관리하지 않는다면 호스팅 업체의 업데이트 일정을 점검하는 것이 급선무다.
