‘웹의 중추’로 불리는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견되면서 전 세계에 비상이 걸렸다. 기업과 쇼핑몰은 물론 공공기관과 금융·의료기관 등의 웹서비스에도 PHP가 광범위하게 쓰이는 만큼 대규모 사이버 공격으로 이어질 수 있다는 우려가 커지고 있다. 특히 국내에서는 보안 지원이 종료된 구형 PHP 버전의 사용 비중이 높아 피해가 발생할 가능성이 제기된다.
22일 보안 업계에 따르면 PHP 개발진은 21일(현지 시간) 외부 공격자가 별도의 인증 절차 없이 서버에서 임의의 코드를 실행할 수 있는 보안 취약점 ‘PHP2Shell’ 2건(CVE-2026-109618·CVE-2026-109619)을 해결하기 위한 긴급 보안 업데이트를 배포했다. 두 취약점 모두 국제 보안 취약점 평가체계(CVSS) 4.0 기준 10점 만점에 9.2점으로 가장 높은 위험 등급인 ‘치명적(Critical)’에 해당한다.
PHP는 웹 개발에 널리 쓰이는 프로그래밍 언어다. 웹 기술 분석 업체 W3Techs 기준 서버 측 프로그래밍 언어를 확인할 수 있는 전 세계 웹사이트의 약 70%가 PHP를 사용한다. 세계적으로 널리 사용되는 웹사이트 제작 도구 워드프레스를 비롯해 국내 그누보드와 라이믹스 등도 PHP를 기반으로 개발됐다.
이번에 발견된 취약점은 메모리 부족 상황에서 발생하는 ‘메모리 손상’과 이미 해제된 메모리를 다시 참조하는 ‘해제 후 사용’ 등 2건이다. 공격자가 로그인 등 별도의 인증 절차 없이 악의적인 요청을 보내 서버에서 임의의 코드를 실행할 수 있는 방식으로 이를 악용하면 웹사이트에 저장된 정보가 유출되거나 서버가 공격자에게 장악될 위험이 있다.
앞서 PHP 재단은 2024년 독일 소버린 테크 에이전시의 지원으로 진행된 외부 보안 감사의 후속 조치 과정에서 PHP와 관련한 이상 징후를 발견했다. 그러나 실제 공격에 악용할 수 있는 구체적인 경로를 확인하지 못했고 기존 프로그램과의 호환성 문제와 개발진의 의사결정 지연, 전문 인력 부족 등이 겹치면서 수정 작업이 장기간 표류했다.
상황이 급변한 것은 해당 결함을 실제 해킹에 악용할 수 있다는 사실이 확인되면서다. 미국 보안 업체 캘리프와 오픈AI, 클라우드 보안 업체 위즈 등은 8월 각각 인공지능(AI)을 활용해 PHP 코드를 분석한 뒤 원격 코드 실행이 가능한 취약점을 PHP 개발진에 신고했다. PHP 재단은 이후 약 2개월간 외부 연구진 및 소프트웨어 배포 업체들과 비공개로 보안 패치를 개발하고 검증해왔다. 취약점의 구체적인 내용이 먼저 공개되면 해커들이 이를 악용할 수 있다는 우려에서다.
이번 사태는 AI의 발전이 오랫동안 소프트웨어에 잠재돼 있던 취약점의 발견을 가속할 수 있다는 점에서 주목받는다. 사이버 보안 기업 티오리의 박세준 대표는 “과거에는 소프트웨어의 복잡한 코드 구조를 이해하고 취약점을 찾아내기 위해 상당한 전문성과 시간이 필요했지만 AI가 등장하면서 이러한 기술적 진입장벽이 빠르게 낮아지고 있다”며 “AI에 특정 코드를 분석하고 취약점을 찾아보라고 지시하면 관련 문제를 탐색하고 자동으로 테스트와 검증까지 수행할 수 있다”고 말했다. 이어 “상대적으로 적은 지식으로도 취약점을 발견할 수 있게 되면서 앞으로 유사한 사례가 더욱 빈번해질 가능성이 크다”고 전망했다.
국내에서도 상당수 웹서비스가 위험에 노출됐을 가능성이 제기된다. 오랜 기간 운영된 중소 규모 웹사이트를 중심으로 보안 업데이트가 제때 이뤄지지 않은 사례가 적지 않기 때문이다. 미국 사이버 보안 기업 몰로리에 따르면 국내 서비스 중 공식 보안 지원이 종료된 PHP 8.1 이하 구형 버전을 사용하는 비중은 89%로 나타났다. 독일(57%), 미국(71%), 일본(79%) 등 주요국보다 높은 수준이다. 안랩 역시 인터넷 자산 검색 서비스를 통해 구형 PHP 버전을 사용하는 것으로 추정되는 국내 서버가 약 11만 대에 달하는 것으로 파악했다. 이는 전 세계에서 여섯 번째로 많은 규모다.
특히 상당수 기업 홈페이지와 쇼핑몰, 일부 공공기관과 학교, 병원, 의료시설 등의 홈페이지 제작 도구가 PHP 기반인 만큼 공공·민간 전반의 연쇄적인 피해가 우려되는 상황이다. 이미 유럽과 일본에서는 PHP 사용 기관과 기업에 즉각적인 보안 조치를 촉구하는 한편 예방 차원에서 대대적인 웹사이트 셧다운(일시적 중단)에 착수했다. 미국 보안 업체 클라우드플레어는 해당 취약점을 노린 초기 공격 시도를 포착했다고 밝혔다. 보안 업계 관계자는 “즉각적인 패치가 어렵다면 외부 접근을 차단하고 장기적으로는 불필요한 시스템을 줄여 공격 표면을 최소화하는 한편 AI를 활용한 상시 보안 점검 체계를 구축해야 한다”고 강조했다.