AI가 전 세계 웹사이트의 최대 70%에서 사용되는 핵심 기술에서 치명적인 보안 취약점을 발견하면서 글로벌 인터넷 보안에 비상이 걸렸다.
21일(현지시간) 월스트리트저널(WSJ)에 따르면 웹사이트 개발에 널리 사용되는 프로그래밍 언어인 PHP 개발진은 이날 심각한 보안 취약점을 공개했다. 해커가 이를 악용할 경우 취약한 PHP 시스템을 장악해 정보를 탈취하거나 해킹된 웹사이트 방문자를 대상으로 추가 사이버 공격을 감행할 수 있는 것으로 나타났다.
‘PHP2Shell’로 명명된 이번 취약점은 PHP가 컴퓨터 메모리를 관리하는 방식에서 발생하는 일련의 결함 중 하나다. 공격자는 다양한 방법으로 이를 악용할 수 있으며 일부 공격은 수초 만에 실행할 수 있다. 수정 프로그램이 적용되지 않은 웹 서버에서 악성 소프트웨어를 실행시키는 것도 가능해진다.
PHP 프로젝트를 관리하는 비영리단체의 보안 엔지니어인 폴커 두슈는 이번 결함에 대해 “PHP가 지난 10여 년간 직면한 가장 심각한 보안 문제”라고 평가했다.
이번 취약점을 최초로 발견한 사이버보안 기업 칼리프의 연구원 라이언 오스틴은 8월 PHP 소스코드를 분석하는 과정에서 오픈AI의 첨단 AI 모델인 ‘GPT-5.6 Sol’의 도움을 받아 문제를 찾아냈다. 오픈AI는 이 감사와 다른 감사에 자금을 지원하고 있다. 이는 AI 시스템에 의해 잇달아 발견되고 있는 소프트웨어 취약점에 대응하기 위해 오픈소스 프로젝트를 지원하는 AI 기업의 노력의 일환이다.
칼리프의 타이 즈엉 최고경영자(CEO)에 따르면 이 같은 유형의 버그는 수년 전부터 PHP 소스코드에 존재했다. 수십 년 전 보안 연구자들이 잠재적 문제를 지적했지만 실제 공격에 활용하기에는 지나치게 복잡하다고 여겨져 사실상 잊혀 있었다.
그러나 AI가 공격 방법을 찾아내면서 상황이 달라졌다. 오스틴 연구원은 PHP 서버에 수십 차례 요청을 보내는 것만으로 컴퓨터 메모리에서 실행되는 코드를 제어하는 방법을 확인했다. 소규모 시스템에서는 공격에 불과 몇 초밖에 걸리지 않았으며, 복잡한 시스템에서는 몇 시간이 소요되기도 했다.
즈엉 CEO는 8월 11일 두슈에게 직접 전화를 걸어 심각한 보안 문제를 발견했다고 알렸다. 이후 보안 연구자와 소프트웨어 엔지니어들로 구성된 비공식 대응팀이 꾸려졌으며 소프트웨어 배포업체 및 보안기업들과 함께 취약점 수정과 악용 방지 방법을 모색했다.
구글 산하 사이버보안 기업 위즈(Wiz)도 칼리프와 별개로 새로운 공격 기법을 발견해 개발진에 전달했다. 오픈AI 연구진도 발견 내용을 개발진에 전달했다.
위즈 공동창업자인 아미 루트왁은 PHP2Shell에 대해 “지금까지 발견된 AI 관련 취약점 가운데 가장 심각한 것”이라며 AI가 없었다면 발견하기 어려울 만큼 복잡한 문제였을 것이라고 평가했다.
연구진은 해커들이 취약점을 먼저 악용하는 사태를 막기 위해 수정 작업이 진행되는 동안 관련 정보를 철저히 비밀에 부쳤다. 보안 패치 개발도 대규모로 이뤄졌다. 수정 대상 파일만 약 200개에 달했고 개발자들은 작업 과정에서 1만 줄이 넘는 코드를 작성했다.
당초 보안 패치는 22일 공개될 예정이었다. 그러나 공개를 이틀 앞둔 전날 기술 커뮤니티 해커뉴스에 관련 정보가 유출되면서 상황이 급변했다. 개발진은 패치 공개를 당초 22일에서 이날로 하루 앞당겼다. 이에 앞서 전날 전 세계 웹사이트 운영자들에게 긴급 보안 업데이트가 배포될 예정이라고 경고했다.
두슈는 이번 조치에 대해 웹사이트 운영자들에게 대응 시간을 제공하면서도 해커들에게 공격 수단을 개발할 시간을 지나치게 많이 주지 않기 위한 “적절한 균형”이었다고 설명했다.
