AI가 보안 취약점 찾아 정부·기업 대응…PHP 운영자는 무엇을 점검해야 하나

2026년 10월 22일 보도에 따르면, PHP에서 치명적인 보안 취약점 2개가 공개된 뒤 핀란드와 네덜란드의 일부 공공 웹서비스, 위키피디아 운영사 위키미디어재단의 일부 시스템이 예방 차원에서 일시 중단됐다. PHP 측은 두 결함을 해결한 보안 업데이트를 배포하고 사용자들에게 즉시 설치하라고 권고했다.

PHP는 위키피디아를 비롯한 많은 웹사이트의 서버에서 기능과 콘텐츠를 구현하는 프로그래밍 언어다. 전 세계 웹사이트의 약 70%가 사용하는 것으로 추산될 만큼 널리 퍼져 있다. 이번 취약점은 로그인이나 별도 인증 없이 서버에서 악성 코드를 실행하거나 내부 데이터와 개인정보를 탈취하는 통로로 악용될 수 있다.

두 취약점은 10년 넘게 PHP 내부에 있었으며, 국제 표준 CVSS v4.0 기준으로 각각 10점 만점에 9.2점을 받았다.

발견에는 AI가 활용됐다. 오픈AI의 ‘패치 더 플래닛’ 프로젝트에 참여한 보안기업 칼리프와 별도로 연구한 위즈가 첨단 AI 모델을 이용해 지난 8월 공격 가능성을 확인했다. 위즈 연구진은 복잡한 결함을 분석해 실제 공격 코드도 개발했다.

오픈AI는 이번 사례가 AI로 오랫동안 발견되지 않은 결함을 찾을 수 있음을 보여주는 동시에, 같은 기술이 공격자의 취약점 악용 코드 개발을 가속할 수 있다고 경고했다.

운영자는 우선 사용 중인 PHP 버전과 보안 조치 적용 여부를 확인해야 한다. PHP 측은 최신 지원 버전인 PHP 8.2~8.5 사용자에게 즉시 업데이트를 요청했다. PHP 8.1 이하는 공식 보안 업데이트 지원이 종료돼 지원되는 버전으로 교체하거나 별도 보안 패치를 적용해야 한다.

EU 컴퓨터비상대응팀은 2004년 처음 출시된 PHP 5부터 이후의 모든 버전이 영향을 받을 가능성이 있다고 봤다. 미국 국가안보국과 영국 국가사이버보안센터 등은 관련 시스템을 즉시 업데이트하고, 보안 조치를 적용할 수 없는 경우 웹사이트 운영을 일시 중단하라고 권고했다.

클라우드플레어는 이미 취약점을 노린 초기 공격 시도가 나타났다고 밝혔으며, 보안 전문가들은 실제 침입 흔적도 점검해야 한다고 강조했다. PHP를 사용하는 조직이 자사 시스템에서 PHP가 작동한다는 사실을 모를 수도 있기 때문이다.