'보안 구멍' 뚫린 PHP… 전세계 웹사이트 해킹 노출[전세계 웹사이트 해킹 비상]

세계 최대 프로그래밍 언어 기술
AI 활용 치명적 취약점 2개 발견
로그인 절차 없이도 시스템 장악
보안업계, 수정한 패치 긴급공개

전 세계 웹사이트 중 최대 75%를 가동하는 기술인 PHP에 치명적인 보안 문제가 있는 것으로 21일(현지시간) 확인됐다. 보안 연구원들이 인공지능(AI)을 활용해 이 취약점을 발견했다.

월스트리트저널(WSJ)은 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 'PHP' 개발진이 AI를 활용하는 과정에서 이날 치명적인 보안문제를 찾아냈다고 보도했다. 해커가 PHP 소프트웨어를 실행하는 모든 시스템의 제어권을 탈취할 수 있는 것으로, 개발진은 이날 두 건의 치명적인 보안 취약점을 수정한 새 버전을 긴급 공개했다.

해커는 이 허점을 이용해 별도의 로그인이나 인증 절차 없이 외부에서 임의로 코드를 실행하거나 시스템을 장악할 수 있는 것으로 알려졌다.

이번에 발견된 보안 허점은 'PHP2셸(Shell)'로, PHP가 컴퓨터 메모리를 관리하는 방식에서 발생하는 일련의 결함이다. 해커가 이 허점을 이용해 웹 서버에서 인가되지 않은 소프트웨어를 실행하는 데 활용될 수 있다. 일부 공격은 수초 만에 완료될 정도로 파급력이 크다.

웹 기술 분석업체 W3텍스에 따르면 프로그래밍 언어 확인이 가능한 전 세계 웹사이트 중 약 75%가 PHP라는 언어로 만들어졌다. 또 전 세계 모든 웹사이트의 약 43%가 사용하는 블로그, 웹사이트 제작 도구인 '워드프레스' 역시 PHP를 기반으로 작동한다.

그러나 인간이 10년 넘게 눈치채지 못하고 있던 코드 속에 숨겨진 치명적 보안 결함을 최첨단 AI가 순식간에 찾아내는 데 성공했다. 이전에 한 보안 연구원이 위험성을 지적하긴 했으나, 당시 기술로는 실제 공격으로 이어지기 너무 어렵다고 판단되어 잊혀졌으나 AI가 그 한계를 깨뜨렸다고 WSJ는 설명했다.

PHP 프로젝트를 관리하는 비영리재단의 폴커 두시 보안엔지니어는 "이번 사태는 최근 10년이 넘는 기간에 PHP가 맞닥뜨린 가장 심각한 보안 문제"라며 과거 수십만대의 서버를 위협했던 대형 보안 악재 '하트블리드'에 비유했다.

문제는 오늘날 AI 도구가 인간보다 훨씬 빠른 속도로 이 작업을 수행할 수 있다는 점이다. 취약점을 최초 발견한 보안업체 칼리프의 타이 두옹 최고경영자(CEO)는 "엑스(X·옛 트위터)의 누군가가 패치 코드를 AI에 넣고 돌려 익스플로잇(공격용) 스크립트를 만들어 올리는 순간, 엄청난 혼란이 몰아칠 것"이라고 경고했다.

한편 보안패치 발표일은 당초 22일로 정해졌지만 20일 '해커뉴스' 게시글을 통해 패치 관련 소식이 유출돼 결국 21일 패치가 발표됐다.

[email protected] 송경재 기자

키워드#해킹 #PHP #웹사이트 #보안 문제

※ 저작권자 ⓒ 파이낸셜뉴스, 무단전재-재배포 금지