[화담일보 = 윤서린기자] 웹서버에서 쓰이는 프로그래밍 언어 PHP에서 치명적 보안 취약점 두 건이 발견돼 개발진이 수정 버전 적용을 권고했다. 아시아경제의 10월 23일 보도에 따르면 보안기업 위즈(Wiz) 연구진은 인공지능(AI)을 활용해 오래된 결함을 분석하고, 시험 환경에서 로그인 없이 서버 명령을 실행할 수 있음을 검증했다.
‘PHP2Shell’로 불리는 두 취약점의 식별번호는 CVE-2026-109618과 CVE-2026-109619다. 모두 국제 보안 취약점 평가체계인 CVSS에서 9.2점을 받아 최고 위험등급인 ‘치명적’으로 분류됐다. 결함은 10년 넘게 존재했던 것으로 설명됐다.
PHP는 홈페이지 로그인이나 온라인 주문 과정에서 서버가 정보를 처리하고 데이터베이스와 주고받도록 하는 언어다. 워드프레스·드루팔·줌라 등 웹사이트 제작 도구에도 사용된다. 위즈는 세계 웹사이트의 약 70%가 PHP를 사용한다고 추정했다. 다만 사용 비중이 곧 해킹 노출 비중을 뜻하지는 않는다. 실제 위험은 PHP 버전, 서버 설정, 보안 패치 적용 여부에 따라 달라진다.
결함은 PHP가 메모리 부족이나 치명적 오류를 처리하는 과정과 관련돼 있다. 요청이 설정된 메모리 한도를 넘으면 실행을 멈추고 자원을 정리하는데, 이때 데이터가 완전히 초기화되지 않거나 이미 해제된 메모리를 다시 참조할 수 있다는 것이다. 대표적인 ‘해제 후 사용’ 결함은 더 이상 사용해서는 안 되는 메모리 공간을 다시 읽거나 쓰는 현상이다.
이번 문제는 개별 홈페이지의 로그인 기능이나 게시판 코드가 아니라 그 아래에서 작동하는 PHP 실행 엔진에 있다. 위즈 연구진은 워드프레스·드루팔·줌라를 사용하는 시험 환경에서 인증 없이 임의 명령을 실행했다. 서버 메모리에 남은 비밀번호와 인증 토큰, 응용프로그램 인터페이스(API) 키 등 민감정보에 접근할 가능성도 확인했다. 이는 시험 결과로, 해당 도구를 쓰는 모든 사이트에서 실제 피해가 발생했다는 의미는 아니다.
연구진은 구글 딥마인드의 제미나이와 오픈AI의 GPT 계열 모델을 코드 분석, 공격 가능성 검증, 실패 원인 파악과 공격 방식 수정에 활용했다고 밝혔다. 특히 PHP 버전이나 서버 설정이 다른 환경에 맞춰 공격 방식을 조정하고 검증하는 시간을 줄였다고 설명했다.
AI가 연구자 없이 결함을 독자적으로 찾아낸 것으로 해석하는 데에는 신중한 평가도 나왔다. 레베카 존슨 호주 시드니대 AI 평가·거버넌스 전문가는 연구자가 살펴볼 지점을 알고 있었고 축적된 연구를 바탕으로 AI를 활용했다고 지적했다. AI의 작동 안정성과 인간 전문가의 지도가 얼마나 필요한지는 별도로 검증해야 한다는 설명이다.
PHP 개발진은 10월 21일 취약점을 수정한 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전을 공개하고 즉각적인 업데이트를 권고했다. 한국인터넷진흥원(KISA)도 같은 날 영향을 받는 버전의 업데이트를 당부했다. PHP 8.1 이하 버전은 공식 보안 지원이 종료됐다. 일부 운영체제 공급업체가 별도 수정 프로그램을 제공하는 경우를 제외하면 지원되는 버전으로 전환해야 한다.
외부 업체에 개발과 유지보수를 맡긴 공공기관·지방자치단체·학교 홈페이지도 점검 대상이다. 이기혁 중앙대 보안대학원 교수는 유지보수가 끝난 외주 사이트 등에 구버전 PHP가 남아 있는 상황을 우려하며 패치 대응 주기를 일 단위로 단축해야 한다고 강조했다. 일부 공격 시도가 관측됐지만 전체 침해 규모는 파악되지 않은 상태다. 홈페이지 운영 중단도 패치 적용을 위한 예방 조치일 수 있어, 중단 사실만으로 해킹 피해를 단정할 수 없다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}