GPT-5.6 Sol 이용한 코드 감사 과정에서 발견...패치 안 된 PHP 서버 장악 가능
"10년 넘게 가장 심각한 PHP 취약점"...AI가 방어뿐 아니라 해킹 속도까지 높일 우려

전 세계 웹사이트의 최대 70%에서 사용되는 것으로 알려진 웹 개발 기술 PHP에서 시스템 장악으로 이어질 수 있는 초대형 보안취약점이 발견돼 글로벌 보안업계가 긴급 대응에 나섰다.

월스트리트저널(WSJ)에 따르면 PHP 개발진은 21일 'PHP2Shell'로 명명된 치명적인 보안취약점을 공개했다. 공격자가 이를 악용할 경우 패치되지 않은 PHP 서버에서 승인되지 않은 프로그램을 실행하고 시스템을 장악할 가능성이 있다.

특히 이번 취약점은 인공지능(AI)을 이용한 소스코드 분석 과정에서 발견됐다. 보안전문가들은 같은 AI 기술이 공격자에게도 제공되고 있다는 점 때문에 패치가 공개되는 순간부터 실제 공격코드가 등장하기까지 걸리는 시간이 과거보다 크게 단축될 수 있다고 경고하고 있다.

PHP 서버 장악해 정보 탈취·추가 공격 가능

PHP2Shell은 PHP가 컴퓨터 메모리를 관리하는 과정에서 발생하는 일련의 문제를 이용한다.

공격방식에 따라 몇 초 만에 취약점을 악용할 수도 있으며, 공격에 성공하면 패치되지 않은 웹서버에서 공격자가 원하는 소프트웨어를 실행할 수 있는 것으로 나타났다.

서버가 장악되면 저장된 정보를 탈취하거나 해당 웹사이트를 통해 방문자를 공격하는 악성코드를 배포하는 등 추가적인 사이버공격으로 이어질 수 있다.

PHP 프로젝트를 관리하는 비영리재단의 보안 엔지니어 폴커 두슈(Volker Dusch)는 이번 문제가 PHP가 지난 10여년 동안 직면한 보안취약점 가운데 가장 심각한 수준이라고 평가했다.

그는 이를 2014년 전 세계 서버 수십만대를 긴급 패치하도록 만들었던 '하트블리드(Heartbleed)' 사태와 비교했다.

AI가 취약점 발견...AI가 공격에도 사용될 수 있다

이번 사태가 특히 주목받는 이유는 취약점을 찾아낸 핵심 수단이 AI였기 때문이다.

보안업체 Calif의 연구원 라이언 오스틴(Ryan Austin)은 지난 8월 PHP 소스코드를 감사하는 과정에서 OpenAI의 GPT-5.6 Sol을 활용해 문제를 발견했다.

이 보안감사는 OpenAI가 자금을 지원한 오픈소스 보안 프로젝트 가운데 하나였다. AI 시스템이 빠르게 소프트웨어 취약점을 찾아내기 시작하면서 주요 오픈소스 프로젝트들이 이를 선제적으로 발견하고 수정하도록 돕기 위한 프로그램이다.

그러나 동일한 기술은 공격자도 사용할 수 있다.

Calif 최고경영자 타이 즈엉(Thai Duong)은 보안패치가 공개되면 누군가 패치 전후의 코드를 AI에 입력하고 변경된 부분을 분석해 실제 공격코드를 빠르게 만들어낼 수 있다고 우려했다.

그는 "누군가 트위터에서 패치를 가져다가 AI로 돌리고 공격 스크립트를 공개할 수도 있다"며 그렇게 되면 "모든 것이 걷잡을 수 없이 터질 것"이라고 말했다.

수년 동안 코드 안에 숨어 있던 문제

PHP2Shell과 관련된 문제는 최근 새롭게 생겨난 것이 아니다.

WSJ에 따르면 취약점의 기반이 된 코드 문제는 PHP 소스코드 안에 수년간 존재했다.

수십 년 전 한 보안연구자가 해당 부분을 문제 가능성이 있는 영역으로 지적한 적도 있었다.

하지만 당시에는 실제 공격으로 연결하기가 지나치게 어렵다고 판단돼 크게 주목받지 못했고 결국 잊힌 문제로 남았다.

AI가 상황을 바꿨다.

오스틴은 PHP 서버에 수십 차례 정도의 요청만 보내 컴퓨터 메모리에서 실행되는 코드를 통제할 수 있는 방법을 찾아냈다.

소규모 시스템에서는 공격에 몇 초밖에 걸리지 않을 수 있고, 구조가 복잡한 시스템에서도 수시간 안에 가능할 수 있는 것으로 나타났다.

8월 11일 비밀리에 긴급 대응 시작

문제의 심각성을 확인한 즈엉은 지난 8월 11일 PHP 측 두슈에게 직접 연락했다.

그는 "여기에 심각한 문제가 있다"고 알렸다.

두슈는 당시 상황을 회상하며 처음에는 "'세상에, 이제 어떻게 해야 하지? 이것을 어떻게 알려야 하나'라는 생각이 들었다"고 말했다.

하지만 곧 보안연구자와 소프트웨어 엔지니어들이 참여하는 비공식 긴급대응팀이 구성됐다.

이들은 소프트웨어 배포업체와 보안기업들과 함께 취약점을 수정하고 PHP2Shell이 실제 공격에 이용되는 것을 막기 위한 작업을 시작했다.

Google Wiz·OpenAI 연구진도 독립적으로 취약점 확인

작업이 진행되면서 다른 보안연구팀에서도 같은 종류의 취약점이 확인됐다.

Google의 사이버보안팀 Wiz 연구진은 Calif와 독립적으로 발견한 새로운 공격방법을 PHP 측에 전달했다.

OpenAI 연구진도 추가적인 보안문제를 발견했다.

AI가 오픈소스 소프트웨어의 취약점을 찾아내는 능력이 급격히 향상되면서 PHP 같은 프로젝트들은 오히려 수정해야 할 문제들이 한꺼번에 쏟아지는 새로운 상황에 직면하고 있다.

수천 개의 취약점 후보가 빠르게 발견되면서 개발진이 어떤 문제부터 해결해야 하는지를 결정하는 것 자체가 과제가 되고 있다는 것이다.

하지만 PHP2Shell은 그 가운데서도 가장 높은 우선순위로 분류됐다.

Wiz "AI가 발견한 취약점 중 가장 심각"

Wiz 공동창업자 아미 루트왁(Ami Luttwak)은 PHP2Shell에 대해 "지금까지 발견된 AI 관련 취약점 가운데 가장 심각하다"고 평가했다.

그는 문제가 지나치게 복잡해 AI가 없었다면 발견 자체가 어려웠을 가능성이 높다고 말했다.

바로 이 점 때문에 보안연구자들은 취약점의 존재를 약 두 달 동안 극비에 부쳤다.

개발자들이 패치를 완성하기 전에 AI를 이용하는 공격자가 같은 취약점을 발견한다면 전 세계 수많은 서버가 공격에 노출될 수 있기 때문이다.

수정 파일만 200개...코드 1만줄 이상 작성

패치 작업의 규모도 매우 컸다.

WSJ에 따르면 PHP2Shell을 수정하기 위해 손을 봐야 하는 파일이 약 200개에 달했다.

개발자들은 이 과정에서 1만줄이 넘는 코드를 새로 작성했다.

단일 취약점 하나만 수정하는 단순한 작업이 아니라 PHP의 메모리 처리 구조 여러 부분을 동시에 손봐야 했다는 의미다.

보안팀은 충분한 테스트를 거친 뒤 당초 10월 22일을 공식 패치 공개일로 정했다.

패치 이틀 앞두고 정보 유출

그러나 계획은 막판에 바뀌었다.

패치 공개를 불과 이틀 앞둔 20일 Hacker News에 관련 정보가 올라오면서 비밀리에 진행되던 패치 작업의 존재가 외부에 알려졌다.

보안팀은 공격자에게 시간을 더 주는 것보다 패치를 앞당겨 공개하는 것이 낫다고 판단했다.

결국 PHP 측은 20일 전 세계 관리자들에게 다음 날 매우 중요한 보안업데이트가 발표될 예정이라고 긴급 경고했고, 당초보다 하루 앞당겨 21일 취약점과 패치를 공개했다.

두슈는 이 결정을 두고 "방어자들에게 정보를 제공하면서 공격자에게 공격방법을 개발할 시간을 너무 많이 주지 않는 적절한 균형"이었다고 말했다.

패치 공개 순간부터 '시간과의 전쟁'

일반적으로 보안패치가 공개되면 그 순간부터 방어자와 공격자 사이의 경쟁이 시작된다.

서버 관리자는 패치를 내려받아 테스트한 뒤 실제 시스템에 설치해야 한다.

반면 공격자들은 공개된 패치를 분석한다.

이전 코드와 수정된 코드를 비교하면 개발자가 어느 부분을 고쳤는지 알 수 있고, 이를 역으로 분석하면 취약점의 작동방식을 추정할 수 있기 때문이다.

과거에는 숙련된 해커가 직접 이러한 분석을 수행해야 했다.

그러나 생성형 AI가 등장하면서 패치 비교와 취약점 분석, 공격코드 작성 과정의 상당 부분이 자동화될 가능성이 생겼다.

"패치가 곧 공격 설명서 될 수도"

이 때문에 현대 사이버보안에서는 패치 공개 자체가 새로운 위험의 시작이 될 수 있다.

방어자에게는 해결책이지만 공격자에게는 취약점이 어디에 있었는지를 알려주는 단서이기 때문이다.

AI는 방대한 코드를 빠르게 비교하고 변경점을 분석할 수 있다.

보안전문가들이 PHP2Shell을 특별히 우려하는 것도 바로 이 부분이다.

이미 한 AI 시스템이 인간 연구자가 수년간 실질적인 공격방법을 찾지 못했던 문제를 실제 악용 가능한 형태로 바꿔냈다면, 다른 AI 시스템 역시 패치를 역분석해 공격방법을 빠르게 찾아낼 가능성을 배제할 수 없다는 것이다.

일부 웹사이트는 선제적으로 서비스 중단까지 검토

위험이 큰 만큼 일부 웹사이트 관리자들은 패치를 적용할 때까지 서비스를 일시적으로 중단하는 방안까지 검토하고 있다고 WSJ는 전했다.

서버가 외부 인터넷에 직접 노출돼 있거나 신속하게 업데이트할 수 없는 조직의 경우 공격자가 실제 공격코드를 공개하기 전에 시스템을 차단하는 것이 더 안전할 수 있다는 판단이다.

특히 PHP는 세계에서 가장 광범위하게 사용되는 웹 기술 가운데 하나여서 취약한 시스템의 숫자가 막대할 가능성이 있다.

PHP 프로젝트 측이 추산하는 영향범위가 최대 전 세계 웹사이트의 70%에 이르는 이유도 여기에 있다.

AI가 만드는 새로운 'Bugmageddon'

이번 사건은 AI가 사이버보안에 가져오는 변화의 양면성을 극명하게 보여준다.

AI는 인간 보안연구자가 찾기 어려웠던 취약점을 빠르게 찾아낼 수 있다.

PHP2Shell 역시 오랫동안 코드 안에 숨어 있던 문제를 AI가 실제 공격 가능한 취약점으로 확인하면서 발견됐다.

이는 수많은 소프트웨어의 보안을 크게 향상시킬 수 있는 기술이다.

하지만 같은 능력을 해커가 사용할 경우 이야기는 달라진다.

과거에는 취약점이 공개되더라도 실제 공격코드를 만드는 데 며칠이나 수주가 걸릴 수 있었다. 이제 AI가 그 시간을 몇 시간 또는 그보다 더 짧게 줄일 가능성이 있다.

AI 시대, 취약점 발견 속도보다 패치 속도가 더 중요해져

PHP2Shell 사태가 보여주는 핵심 변화는 소프트웨어 취약점을 발견하는 속도 자체가 급격하게 빨라지고 있다는 것이다.

AI는 보안전문가들이 수년 동안 놓쳤던 문제를 찾아낼 수 있지만 동시에 공격자도 같은 속도로 취약점을 찾고 공격방법을 개발할 수 있다.

따라서 앞으로 사이버보안의 핵심은 단순히 취약점을 먼저 발견하는 것만이 아니라 발견된 문제를 얼마나 빨리 수정하고 전 세계 서버에 패치를 적용할 수 있느냐로 이동할 가능성이 크다.

PHP2Shell을 찾아낸 것도 AI였고, 이를 악용하는 공격자를 가장 빠르게 만들어낼 수 있는 기술 역시 AI다.

보안업계가 이번 취약점을 '전원 비상사태' 수준으로 받아들이는 이유다.