10년 잠복한 결함, AI가 일주일 만에
전 세계 웹사이트의 70~75%가 사용하는 서버용 프로그래밍 언어 PHP에서 치명적인 보안 취약점 두 건이 발견됐습니다. 별도의 로그인 없이 외부에서 임의 코드를 실행하거나 시스템 전체를 장악할 수 있는 수준인데요. 워드프레스를 포함한 PHP 기반 사이트가 전체의 43%에 이르다 보니 파장은 자연히 세계적일 수밖에 없습니다.
주목할 지점은 발견 경로입니다. 알파벳 산하 보안업체 위즈와 보안업체 캘리프가 각각 독자적으로 결함을 찾아냈는데, 캘리프는 오픈AI의 모델 'GPT-5.6 솔'을 활용했습니다. 위즈 공동창업자 아미 루트와크는 AI가 없었다면 발견하기에 지나치게 복잡했을 것이라고 밝혔습니다. 10년 넘게 숨어 있던 결함을 한 연구자가 일주일 만에 찾아낸 셈입니다.
패치를 둘러싼 공조의 균열
문제는 속도전이었습니다. 개발진은 22일 배포를 예정했지만 20일 온라인 게시판에 취약점 정보가 유출되면서 일정을 앞당겼습니다. 이 과정에서 체인가드가 공식 배포보다 약 6시간 먼저 패치 이미지를 공개했고, PHP 재단은 공조 공개를 위해 수주간 기울인 노력을 무시한 행위라며 비판했습니다. 패치 코드를 역분석할 시간을 해커에게 준 셈이기 때문입니다.
실제로 공격 시도는 이미 포착됐습니다. 클라우드플레어 최고기술책임자 데인 크네흐트는 초기 공격이 관측되고 있다고 전했습니다. 패치가 나온 뒤가 오히려 더 위험한 구간이라는 뜻입니다. 재단은 외부 감사에서 결함 징후가 포착됐지만 내부 합의 난항과 기존 프로그램과의 호환성 우려로 작업이 표류했다고 설명했습니다.
각국 정부가 택한 '오프라인' 카드
대응은 즉각적이었습니다. 미국 백악관 국가사이버국장실은 FBI, CISA, NSA와 함께 연방기관과 주요 기반시설에 미칠 영향을 점검하고 있습니다. 네덜란드에서는 로테르담항과 정부 포털, 주요 정당과 병원 사이트가 내려갔고, 프랑스 내무부는 정부 웹사이트 전체를 예방적 유지보수 상태로 전환했습니다. 핀란드와 덴마크, 벨기에도 공공 서비스를 멈췄고, 영국과 일본, 호주 당국은 즉시 업데이트나 오프라인 전환을 권고했습니다.
전문가들이 공통적으로 지적하는 건 중소 규모 사이트입니다. 보안 인력을 확보하기 어려운 곳일수록 위험에 노출되기 쉽다는 겁니다. 오픈AI는 이번 사례를 계기로 사이버 방어 역량 강화에 10억 달러를 투입하겠다고 밝혔는데요. AI가 결함을 찾아내는 속도만큼이나, 이를 메우는 속도가 관건이 된 상황입니다.