패치보다 빠른 공격 준비
인공지능이 PHP 코어에서 10년 넘게 잠복한 메모리 관리 결함을 찾아내면서 전 세계 웹 보안이 흔들리고 있습니다. 문제가 된 것은 CVE-2026-109618과 CVE-2026-109619, 이른바 PHP2Shell 취약점인데요. 로그인 없이 조작된 요청만으로 서버 명령 실행이 가능해 CVSS 9.2의 치명적 위험으로 평가됩니다. 전 세계 웹사이트의 70% 안팎이 PHP를 사용하는 만큼 정부와 기업, 개인 사이트가 동시에 영향을 받았습니다.
PHP 개발팀은 10월 21일 긴급 패치를 내놨지만, 공개 직후 증명 코드가 유출되며 공격 시도가 빠르게 관측됐습니다. 한국인터넷진흥원도 같은 날 긴급 공지를 내고 최신 버전 적용과 PHP 구동 프로세스 재시작을 권고했는데요. 패치 속도보다 공격 준비 속도가 빨라질 수 있다는 점이 이번 사안의 핵심입니다.
한국 정부와 금융권을 겨눈 정황
싱가포르 보안업체 사이퍼마는 익명망에서 한국어 사용자들이 이 취약점을 논의한 정황을 포착했습니다. 이들은 한국과 미국, 일본, 유럽연합 등의 정부기관과 금융기관을 우선 표적으로 삼고, 물류와 해운, 항공, 전자상거래, 건설까지 공격 범위를 넓힌 것으로 분석됐습니다. 공개된 공격 코드를 인공지능으로 선별하고 시험 환경에서 검증했다는 설명도 나옵니다.
다만 배후에 대해서는 단정하기 이릅니다. 사이퍼마는 북한 정찰총국 산하 라자루스 연계 가능성을 제기하면서도 신뢰도를 중간 수준으로 평가했습니다. 한국어 지시문과 정부·금융기관 중심 표적 설정이 근거로 언급됐지만, 직접적인 기술 증거는 아직 부족합니다.
방어와 혼란 사이
깃허브에는 PHP2Shell 관련 저장소가 급증했고, 관심은 방어 코드보다 공격 증명 코드에 몰렸습니다. 안랩은 출처가 불분명한 코드 가운데 정상 동작하지 않거나 악성 기능을 숨긴 사례가 있다며 격리 환경에서 검증하라고 경고했습니다. KISA는 별도의 신규 취약점 CVE-2026-115560에 대해서도 공식 패치 전까지 파일 업로드 진행 상황 추적 기능을 비활성화하라는 임시 조치를 권고했습니다.
영국은 인터넷 마비 상황에 대비해 가정에 사흘치 비상 물품을 준비하도록 안내했고, 전문가들 사이에서는 AI가 방어 시간을 줄였다는 우려와 결함의 실제 악용 가능성을 신중히 봐야 한다는 견해가 갈립니다. 지금 필요한 것은 패치 적용과 침해 흔적 점검을 동시에 진행하는 일입니다.