PHP 보안 취약점에 각국 긴급 대응…정부 사이트는 왜 멈췄나

PHP에서 10년 넘게 확인되지 않았던 결함을 포함해 치명적 보안 취약점 두 건이 발견되면서 각국 기업과 정부 기관이 대응에 나섰다. PHP 개발진은 2026년 10월 21일(현지시간) 결함을 수정한 새 버전을 긴급 공개했다.

패치 배포 전부터 일부 공격 시도가 보고됐고, 네덜란드와 핀란드 등 일부 유럽 정부 기관은 예방 차원에서 웹사이트 운영을 중단했다.

취약점을 악용하면 로그인이나 별도 인증 없이 원격에서 임의의 코드를 실행하거나 시스템을 장악할 수 있다. 문제의 결함은 수년간 PHP 코드에 존재했고 과거에도 잠재적 문제로 지적됐지만, 실제 공격에 이용하기는 어려운 것으로 여겨졌다. PHP가 웹사이트 전반에 널리 쓰이는 만큼 악용될 경우 파급 범위가 클 수 있다.

W3Techs에 따르면 사용 언어를 식별할 수 있는 웹사이트 가운데 약 75%가 PHP를 사용한다. 전체 웹사이트의 약 43%에서 쓰이는 워드프레스도 PHP 기반이다.

발견 과정에는 인공지능(AI)이 관여했다. 사이버보안업체 캘리프는 오픈AI의 모델 ‘GPT-5.6 솔(Sol)’을 활용해 취약점을 찾아냈고, 구글 계열 보안업체 위즈도 독자적으로 두 건을 발견해 신고했다. 위즈 공동창업자 아미 루트와크는 AI가 없었다면 결함이 지나치게 복잡해 발견하기 어려웠을 것이라고 평가했다.

그는 이를 AI가 발견한 취약점 가운데 가장 심각한 사례라고도 말했다. 오픈AI 역시 결함의 심각성과 PHP의 광범위한 사용을 고려해 최근 들어 파급력이 큰 취약점 중 하나라고 평가했다.

개발진은 당초 10월 22일 패치를 공개할 계획이었으나, 20일 온라인 게시판에 관련 정보가 유출되자 일정을 하루 앞당겼다. 클라우드플레어의 데인 크네히트 최고기술책임자는 초기 공격 시도가 나타나고 있으며 새로운 공격 경로가 발견될 때마다 대응 조치를 갱신한다고 밝혔다.

유럽과 일본, 호주 등의 사이버보안 당국은 관련 시스템을 점검하고 보안 업데이트를 적용하라고 권고했다.