AI가 찾은 웹 보안 취약점에 긴급 대응…PHP는 어떤 버전을 업데이트해야 하나

PHP의 보안 취약점 두 개가 AI를 활용한 연구로 드러난 뒤 일부 공공 웹서비스와 시스템이 일시 중단됐다.

PHP 측은 결함을 해결한 보안 업데이트를 배포하고 최신 지원 버전 사용자에게 즉시 적용하라고 권고했다.

전 세계 웹사이트의 약 70%가 사용하는 것으로 추산되는 언어여서 영향 범위가 넓을 수 있다.

PHP는 웹사이트 서버에서 작동하며 이용자가 보는 기능과 콘텐츠를 구현하는 데 쓰인다.

이번 취약점은 외부 공격자가 로그인이나 별도 인증 없이 서버에서 악성 코드를 실행하거나 내부 데이터와 개인정보를 탈취하는 통로가 될 수 있다.

두 결함은 10년 넘게 PHP 내부에 있었던 것으로 분석됐다.

오픈AI의 ‘패치 더 플래닛’은 웹 개발 언어의 보안 결함을 찾아 수정하는 프로젝트다.

여기에 참여한 보안기업 칼리프와 별도로 연구한 위즈는 첨단 AI 모델을 활용해 지난 8월 공격 가능성을 확인했고, 위즈 연구진은 실제 공격 코드도 개발했다.

PHP 측이 밝힌 국제 보안 심각도 점수는 두 취약점 모두 CVSS v4.0 기준 10점 만점에 9.2점이다.

수정 업데이트가 배포된 최신 지원 버전은 PHP 8.2~8.5로, 해당 버전 사용자는 즉시 업데이트해야 한다.

PHP 8.1 이하는 공식 보안 업데이트 지원이 종료돼 지원되는 버전으로 바꾸거나 별도 보안 패치를 적용해야 한다.

CERT-EU는 2004년 처음 출시된 PHP 5부터 이후 버전까지 영향을 받을 가능성이 있다고 봤다.

취약점 공개 뒤 핀란드 정부와 네덜란드 정부기관은 일부 공공 웹서비스를 일시 중단했고, 위키피디아 운영자인 위키미디어재단도 예방 차원에서 일부 시스템을 폐쇄했다.

미국 NSA와 영국 NCSC, EU 등은 시스템 업데이트와 보안 조치를 권고했으며, 이를 적용할 수 없으면 웹사이트 운영을 일시 중단하라고 안내했다.

클라우드플레어는 취약점을 노린 초기 공격 시도가 나타났다고 밝혔다.

오픈AI는 이번 발견을 최근 보안 문제 중 파급력이 큰 사례로 평가하면서, 같은 AI 기술이 공격자의 취약점 악용 코드 개발을 앞당길 위험도 있다고 경고했다.