전 세계를 멈춘 PHP 결함
2026년 10월, 웹사이트 70% 이상이 쓰는 PHP에서 치명적 취약점 두 건이 확인됐습니다. CVE-2026-109618과 109619, PHP2Shell은 메모리 오류로 로그인 없이 서버 명령을 실행하게 하며 위험도는 CVSS 9.2입니다. AI가 취약점과 공격 코드를 찾아내면서 대응 시간은 사라졌습니다.
공격은 패치 공개 전부터 시작됐는데, 아마존은 나흘 전부터 악용 흔적을, 클라우드플레어는 수백만 건의 공격 시도를 확인했습니다. 미국과 유럽, 일본의 기관은 사이트를 중단하거나 접속을 차단했습니다. 전 세계 인터넷이 예방적 셧다운을 택한 겁니다.
국내 대응과 구버전 위험
한국은 과기정통부와 KISA가 민간 사이버위기 경보를 주의로 올렸습니다. 2만8000여 기업과 111개 주요 기반시설에 긴급 수칙이 전파됐고, 청와대는 민관군 회의를 열었습니다. 정부24 등 공공 시스템은 자바 기반이라 영향이 작습니다.
문제는 민간의 노후 서버로, 국내 PHP 서버 11만여 건 중 89%가 지원 종료된 8.1 이하 버전입니다. 최신 버전 업데이트가 근본 해법이지만 호환성 문제로 적용하기 어려운 곳이 많습니다. 그래서 웹방화벽 차단과 패치 병행이 대안으로 제시됩니다.
AI 시대의 보안 과제
이번 사건은 AI가 보안의 양날의 검임을 보여주는데, 보안업체 캘리프는 AI로 수개월 걸리던 감사를 6일 만에 마쳤습니다. 반대로 공격자는 같은 기술로 패치 전 악성 스크립트를 만들었고, 관련 코드가 하루 만에 대거 공개됐습니다. 탐지와 공격이 모두 빨라진 만큼 패치 주기를 일 단위로 줄여야 한다는 지적입니다.
전문가들은 인증 중심 체계만으로 실전 공격을 막기 어렵다며, 기업은 PHP 8.2 이상으로 전환하고 외부 접속 차단과 기록 점검을 병행해야 한다고 봅니다. 정부에는 중소기업 보안서비스 지원과 탐지와 대응 중심 정책 전환이 요구됩니다. AI 대 AI 경쟁에서 사후 경고보다 상시 방어망이 중요해졌습니다.