인증 없이 서버 장악하는 결함
전 세계 웹사이트 약 76%가 PHP를 쓰는 가운데, 인증 없이 서버 명령을 실행할 수 있는 치명적 결함 두 건이 확인됐습니다. CVE-2026-109618과 CVE-2026-109619, 이른바 PHP2Shell로 불리는 취약점은 최고 위험 등급인 CVSS 9.2점을 받았는데요. AI 기반 코드 분석으로 10년가량 잠복해 있던 메모리 관리 문제가 드러나면서 보안 업계가 긴급 대응에 나섰습니다.
PHP 재단은 10월 21일 밤 긴급 패치를 배포했지만, 패치와 함께 공격 개념 증명 코드까지 유출되면서 상황은 빠르게 번졌습니다. 아마존은 취약점 공개 나흘 전인 17일부터 공격 시도를 탐지했고, 클라우드플레어는 공개 전후로 수백만 건의 공격 시도가 관측됐다고 밝혔습니다. 실제 침해 성공 여부와 별개로, 공격 시도 규모만으로도 전 세계 웹 인프라가 얼마나 취약한지 드러난 셈입니다.
한국과 일본의 긴급 대응
한국에서는 과학기술정보통신부와 한국인터넷진흥원이 10월 22일 사이버위기 경보를 관심에서 주의로 올렸습니다. 주요 정보통신기반시설 111곳과 최고정보보호책임자 2만8000명에게 패치를 요청했고, 국내 취약 버전 운영 사이트가 11만 건을 넘는다는 점도 함께 거론됐습니다. 다만 공공기관의 실제 PHP 사용 현황 파악이 늦어졌다는 지적이 국회에서 나왔고, 정부는 범부처 종합대책과 컨트롤타워 정비를 검토하겠다고 밝혔습니다.
일본의 영향은 더 즉각적이었습니다. 소프트뱅크는 긴급재난문자 서비스를 26일까지 중단했고, 노무라증권과 미쓰비시UFJ, 전일본공수, JR동일본 등 주요 기업과 재무성, 국세청, 기상청 등 정부 기관도 웹서비스 운영을 일시 제한했습니다. 일본 정부는 AI를 활용한 전담 사이버 방어팀을 창설하며 선제 대응에 나섰습니다.
남은 쟁점은 패치 속도
공격 주체로는 북한 해킹 조직 라자루스 연루 가능성이 제기됐습니다. 한국어 지시문, 정부와 금융기관 중심의 표적, 과거 웹셸 방식이 유사하다는 분석이 나왔지만, 직접적인 악성코드 중복 증거는 아직 확인되지 않아 신뢰도는 중간 수준에 머물고 있습니다.
더 근본적인 문제는 패치 속도입니다. 전 세계 웹사이트의 상당수가 기술 지원이 끝난 PHP 8.1 이하 버전을 쓰고 있어, 보안 부채와 유지보수 부채가 누적된 상태입니다. AI가 취약점을 빠르게 찾아내고 공격 도구까지 자동화하는 만큼, 패치를 권고하는 데 그치지 않고 자산 파악과 적용을 제도화해야 한다는 목소리가 커지고 있습니다.