웹 인프라를 흔든 치명적 결함
전 세계 웹사이트 상당수가 의존하는 PHP에서 인증 없이 원격 코드를 실행할 수 있는 취약점 두 건이 확인됐습니다. CVE-2026-109618과 CVE-2026-109619로 등록된 결함은 CVSS 4.0 기준 9.2점의 치명적 등급입니다. 공격자가 별도 로그인 없이 서버 권한을 탈취하거나 메모리를 읽을 수 있다는 점에서 파장이 큽니다.
PHP는 워드프레스와 미디어위키 등 주요 플랫폼을 포함해 전 세계 웹사이트의 70~75%가 사용하는 언어입니다. 문제는 결함이 최신 버전만의 문제가 아니라는 겁니다. PHP 8.2부터 8.5까지가 영향을 받고, 8.1 이하 버전은 공식 보안 지원이 끝나 별도 업그레이드가 필요합니다.
AI가 찾아냈지만 공격에도 쓰일 수 있어
사실 이번 결함은 AI 기반 분석 과정에서 드러났습니다. 보안업체 캘리프가 오픈AI 모델을 활용해 첫 취약점을 찾았고, 구글 계열 위즈도 독립적으로 두 번째 결함을 발견한 것으로 전해집니다. 구글은 Gemini AI로 패치 검증을 진행했고, 오픈AI도 연구원들과 수정 작업을 조율했습니다.
AI가 10년 넘게 숨은 결함을 빠르게 찾아낸 점은 분명 의미가 있습니다. 반대로 같은 기술이 공격자의 취약점 분석 속도를 높일 수 있다는 우려도 함께 나옵니다. 실제로 패치 공개 직후 신규 코드와 구버전을 비교하는 패치 디핑 공격이 빠르게 늘 수 있다는 경고가 나왔습니다.
패치 공개와 대응의 시차
PHP 재단은 22일 패치를 배포할 예정이었지만, 정보 유출과 공격 시도가 포착되면서 일정이 앞당겨졌습니다. 방어도구 업체 체인가드가 예정보다 6시간 이상 먼저 패치 이미지를 공개하면서 조율된 공개 원칙이 깨졌다는 비판도 나옵니다. 재단은 수주간 준비한 업체들과의 약속이 어겨졌다고 지적했습니다.
각국 대응도 분주합니다. 한국인터넷진흥원은 즉시 업데이트를 권고했고, 일본 총리와 재무성, 미즈호은행, 라쿠텐 등도 긴급 점검이나 일부 서비스 중단에 나섰습니다. 네덜란드와 핀란드, 벨기에 등 유럽 정부기관은 웹사이트를 오프라인으로 전환했고, 미국 NSA와 FBI는 패치가 어려우면 시스템 중단을 권고했습니다.
아마존은 자체 탐지 시스템으로 공개 전 공격 시도를 포착했고, 클라우드플레어는 방어 규칙을 갱신했습니다. 국내 보안업체들도 패치 전 차단 규칙과 임시 완화책을 내놓았습니다. 인터넷 분석업체 센시스 집계에서는 PHP 서버 약 260만 대 중 150만 대가 여전히 패치되지 않은 버전을 쓰는 것으로 나타났습니다.
물론 임시 조치는 완전한 방어가 아니어서 최신 버전 업그레이드와 상시 점검이 중요합니다. 패치 공개는 끝이 아니라 공격과 방어가 본격화되는 시작점인 셈입니다. 아직 대규모 피해가 확인된 것은 아니지만, 노후 서버를 중심으로 긴장감은 당분간 이어질 전망입니다.