AI가 웹사이트 보안 결함 발견…PHP 패치는 왜 하루 앞당겨졌나

PHP에서 로그인이나 인증 절차 없이 외부인이 코드를 실행하거나 시스템을 장악할 수 있는 치명적인 보안 취약점 두 건이 확인됐다.

PHP 개발진은 10월 21일(현지시간) 이를 수정한 새 버전을 긴급 공개했다. 당초 예정일보다 하루 빠른 배포였다.

파급력이 큰 이유는 PHP가 웹사이트에 널리 쓰이기 때문이다.

웹 기술 분석업체 W3Techs에 따르면 사용된 프로그래밍 언어를 식별할 수 있는 웹사이트의 약 75%가 PHP를 사용한다.

전체 웹사이트의 약 43%가 이용하는 웹사이트 제작·관리 시스템 워드프레스도 PHP 기반이다.

두 수치는 각각 언어를 식별할 수 있는 사이트와 전체 사이트를 기준으로 한다.

취약점은 PHP 코드에 수년간 존재했으며, 10년 넘게 확인되지 않았던 것으로 전해졌다.

과거에도 잠재적 문제로 지적됐지만 실제 공격에 악용하기는 어려운 것으로 여겨졌다.

발견 과정에는 인공지능(AI)이 관여했다.

사이버보안업체 캘리프는 오픈AI 모델 GPT-5.6 솔을 활용해 취약점을 찾았고, 구글 계열 보안업체 위즈도 독자적으로 두 건을 발견해 신고했다.

위즈 공동창업자 아미 루트와크는 이를 “AI가 발견한 보안 취약점 가운데 역대 가장 심각하다”고 평가했다.

오픈AI도 결함의 심각성과 PHP의 광범위한 사용을 고려할 때 최근 가장 파급력이 큰 취약점 중 하나라고 밝혔다.

PHP 개발진은 패치를 10월 22일 공개할 계획이었으나, 20일 온라인 게시판에 관련 정보가 유출되자 배포를 하루 앞당겼다.

패치가 나오기 전부터 일부 해커의 공격 시도가 있었고, 클라우드플레어의 데인 크네히트 최고기술책임자는 초기 공격이 나타나 새로운 공격 경로에 대한 대응을 갱신하고 있다고 밝혔다.

네덜란드와 핀란드의 일부 정부기관은 예방 차원에서 웹사이트 운영을 중단했다.

유럽과 일본, 호주 등의 사이버보안 당국은 긴급 업데이트를 권고했다.