인터넷을 더 안전하게 만들려고 찾아낸 결함 때문에 웹사이트를 멈춰야 한다면, 이를 어떻게 받아들여야 할까. AI를 활용한 보안 점검이 PHP의 심각한 취약점 발견을 앞당긴 가운데, 여러 국가의 정부기관과 기업이 서비스를 일시 중단하거나 긴급 패치에 나섰다. 오래 숨어 있던 위험을 드러냈다는 점에서는 성과지만, 발견한 결함을 고칠 시간이 충분하지 않으면 그 충격은 이용자의 일상으로 번진다.
AFP와 Reuters의 10월 23일 보도에 따르면, 이번 사태는 AI가 소프트웨어 보안의 속도를 어떻게 바꾸는지 보여준다. 핵심은 취약점을 얼마나 잘 찾아내느냐에만 있지 않다. 공격자가 움직이기 전에 운영자가 얼마나 빨리 대응할 수 있느냐가 인터넷 서비스의 연속성을 좌우하게 됐다.
취약점 정보 유출 뒤 수정본 공개…각국 사이트 긴급 대응
AFP에 따르면 보안업체 Calif는 8월 OpenAI의 지원을 받은 코드 감사 과정에서 GPT-5.6 Sol을 이용해 PHP 취약점을 발견했다. Google 소유의 보안업체 Wiz도 몇 주 뒤 독립적으로 취약점을 찾아냈다. AFP는 Wiz가 발견한 PHP 취약점이 2개이며, 관련 코드 결함이 오랫동안 사람에게 발견되지 않은 상태였다고 전했다.
대응 일정은 취약점 세부 내용이 10월 20일 온라인에 유출되면서 급박해졌다. PHP 개발자들은 10월 21일 수정본을 공개했고, 10월 22일을 중심으로 여러 사이트가 긴급 점검과 유지보수를 위해 문을 닫았다.
AFP가 전한 중단 사례에는 호주·핀란드·네덜란드·영국의 정부기관 사이트와 보험·교통·언론사 서비스가 포함됐다. Wikipedia 운영 재단도 이용자들에게 장애 가능성을 알렸다.
문제가 된 취약점은 PHP 서버에 무단으로 접근하는 통로가 될 수 있었다. AFP가 인용한 시드니 뉴사우스웨일스대의 Rahat Masood 사이버보안 선임강사는 이번 발견을 “상당히 충격적”이라고 평가하면서, 서버 침입이 민감정보 탈취나 웹사이트 내용 변경으로 이어질 수 있다고 경고했다.
미국 국가안보국(NSA)과 PHP Foundation은 즉시 패치하거나 취약한 시스템을 오프라인으로 내릴 것을 권고했다. 서비스 중단은 그 자체로 공격 피해를 뜻하는 것이 아니라, 더 큰 위험을 피하기 위한 예방 조치이기도 했다.
‘웹사이트 70%’의 의미…넓은 기반과 서로 다른 위험
PHP는 웹사이트와 여러 웹 플랫폼을 지탱하는 기반 기술이다. AFP가 인용한 Wiz Research 추산에 따르면 전 세계 웹사이트의 약 70%가 PHP를 사용한다. 이처럼 널리 쓰이는 기술에서 심각한 결함이 드러나면, 서로 다른 국가와 업종의 서비스가 동시에 대응에 나설 수밖에 없다.
다만 이 수치를 전체 웹사이트의 약 70%가 이번 취약점에 노출됐다는 의미로 읽어서는 안 된다. AFP는 자체 서버에서 PHP를 구동하는 사이트가 노출됐다고 설명했다. PHP를 쓰지 않거나 신속하게 패치할 수 있었던 대형 플랫폼은 운영을 이어가기도 했다.
사회·경제적 쟁점은 공통 기반 기술의 보안 문제가 개별 기업의 서버 관리에 그치지 않는다는 데 있다. 정부기관 사이트가 멈추면 공공서비스 접근이 불편해지고, 교통·보험 서비스 중단은 이용자의 업무와 생활에 영향을 줄 수 있다. 긴급 점검은 운영 인력을 다른 업무에서 돌려야 하는 부담도 만든다.
운영자에게는 어려운 선택이다. 서비스를 유지한 채 공격 위험을 감수할 것인지, 일시 중단을 감수하고 안전을 확보할 것인지 판단해야 한다. 평소의 업데이트 역량이 위기 때 서비스 지속 능력으로 이어지는 이유다.
AI가 줄이는 것은 발견 시간만이 아니다
Reuters는 과거 숙련된 전문가도 취약점을 찾아 공격 가능한 도구를 만드는 데 수주에서 수개월이 걸릴 수 있었지만, AI는 취약점 탐색을 상시화하고 악용 도구 제작 시간을 수시간 수준으로 줄일 수 있다고 보도했다. 이는 이번 PHP 취약점의 공격 도구가 실제로 수시간 만에 완성됐다는 뜻이 아니라, 보안업계가 우려하는 전반적인 속도 변화다.
RunSafe Security의 Shane Fry 최고기술책임자는 Reuters에 AI가 “취약점 발견뿐 아니라 공격자가 이를 무기화하는 속도”를 바꾸고 있다고 말했다. 방어자가 더 많은 결함을 찾을 수 있게 된 만큼, 공격자도 공개된 정보를 빠르게 분석할 수 있다는 양면성이다.
Cloudflare의 Matthew Prince 최고경영자는 10월 22일 인터뷰에서 AI가 인터넷 기반 소프트웨어의 오래된 취약점을 드러내면서 “앞으로 몇 년간 매주 하늘이 무너지는 것처럼 느껴질 것”이라고 말했다고 Reuters는 전했다.
발견 증가를 시사하는 수치도 나왔다. Reuters는 VulnCheck 연구를 인용해 AI가 기여한 디지털 취약점 발견 건수가 전년 대비 두 배로 늘었다고 보도했다. 다만 당시 연구는 수일 내 발표 예정이었으므로, 확정된 공식 통계가 아닌 보도된 잠정 수치로 봐야 한다.
반대로 발견 건수와 실제 피해를 곧바로 연결해서도 안 된다. Reuters에 따르면 ArmorCode의 Ramy Rahman은 공개되는 취약점이 많아졌다고 성공적인 공격까지 자동으로 늘어나는 것은 아니라고 지적했다. curl 수석 개발자 Daniel Stenberg도 AI가 찾아낸 취약점은 이례적인 유형이어서 실제 악용이 어려울 수 있다고 봤다.
이번 PHP 취약점의 피해 규모도 보도 시점에는 확정되지 않았다. Reuters에 따르면 Hunt.io는 공격 시도를 관찰했지만, 10월 22일 오후 2시 미 동부시간 기준으로 추적 대상 범죄자들이 작동하는 악용 도구를 만들지는 못한 것으로 판단했다. 반면 Prince 최고경영자는 관련 침해 정황을 봤다고 밝혔다. 공격 시도, 침해 정황, 확인된 피해는 구분해서 볼 필요가 있다.
대응 격차를 줄여야 AI 보안의 이익도 커진다
더 오래 남을 문제는 운영자 사이의 대응 역량 차이다. AFP가 인용한 제임스쿡대 싱가포르 캠퍼스의 Steve Kerrison 사이버보안 선임강사는 신속히 패치할 수 있는 정부기관·언론사와 달리, 일부 사이트와 이용자는 취약점의 존재를 며칠·몇 주·몇 달 동안 모를 수 있다고 경고했다.
발견 속도가 빨라져도 공지를 받아볼 사람과 업데이트할 인력이 없다면 위험은 남는다. 대형 서비스가 패치를 마친 뒤에도 작은 사이트는 노출된 상태를 유지할 수 있다는 뜻이다. AI 보안의 성과를 탐지 건수만으로 평가하기 어려운 이유다.
국내 기업과 기관에도 실무적 시사점이 있다. 자체 서버와 웹서비스의 PHP 사용 여부를 확인하고, 해당 환경의 공식 수정본 적용 상태와 외부 노출 시스템을 점검할 필요가 있다. 이는 국내 피해가 확인됐다는 뜻이 아니라, 이번 사건에서 도출되는 예방적 대응 과제다.
AI를 코드 감사에 활용하는 조직이라면 취약점 발견 이후의 절차도 함께 설계해야 한다. 책임 있는 신고와 공개 시점 조율, 수정본 배포, 긴급 중단 판단, 서비스 재개까지 이어지는 체계가 필요하다. 소규모 운영자에게 공지를 전달하고 패치를 지원하는 일 역시 그 체계에 포함돼야 한다.
더 빨리 찾는 AI에 걸맞게, 더 빨리 고칠 준비가 됐는가
AI가 오래된 결함을 찾아내는 것은 보안의 진전이다. 그러나 발견과 해결 사이의 간격을 줄이지 못하면, 그 성과는 긴급 중단과 운영 혼란으로 먼저 체감될 수 있다.
우리가 운영하거나 이용하는 서비스는 취약점이 공개됐을 때 얼마나 빨리 안전해질 수 있을까. 보안의 지혜는 위험을 먼저 아는 데서 그치지 않고, 알게 된 위험을 제때 줄이는 데 있다. 지금 PHP 사용 환경과 패치 상태를 확인하고, 다음 긴급 공지가 도착하기 전에 대응 절차를 점검하자.
){kind=small}
){kind=small}
){kind=small}
){kind=small}