전 세계 웹사이트의 70%가 해킹 위협에 무방비로 노출되는 초유의 사이버 보안 비상사태가 발생했다. 인간 보안 담당자들이 미처 발견하지 못했던 제로데이 취약점(미공개 보안 허점)을 인공지능(AI)이 찾아내면서다. 관련 웹사이트를 오프라인으로 전환하는 등 세계 각국은 해킹 차단 긴급 대응에 나섰다.
22일 과학기술정보통신부와 한국인터넷진흥원(KISA)은 웹사이트 프로그래밍 언어 PHP 개발진이 전날 공개한 PHP의 보안 취약점 두 건과 관련해 민간 분야 사이버 위기경보를 관심·주의·경계·심각 4단계 중 ‘주의’로 상향했다. 당국은 해킹 침해사고 대응 인력을 증원하고 비상출동조를 상시 대기시키는 등 비상 대응체계를 가동했다. 이날 청와대 국가안보실이 연 민·관·군 사이버 안보 긴급대책 회의에서 송기호 안보실 3차장은 “이미 해외에선 공격 시도가 보고되고 있어 얼마나 빨리 조치하느냐가 피해 규모를 좌우한다”며 “원팀으로 신속하게 대응해야 한다”고 강조했다.
PHP는 홈페이지나 온라인 쇼핑몰 등 다양한 웹 서비스를 만드는 데 사용되는 언어다. 미국 웹 기술 분석업체인 ‘W3Techs’에 따르면 전 세계 웹사이트의 약 70%가 PHP를 사용한다. 이번 사태는 지난 21일 PHP 개발진이 자체 보안 감사 결과 보안 취약점을 발견했다고 밝히며 이를 보완한 수정 코드를 긴급 공개하면서 알려졌다. ‘PHP2Shell’로 명명된 이 취약점을 악용하면 해커들이 짧게는 몇 초 만에 별도의 로그인이나 인증 절차 없이 원격으로 임의의 코드를 실행해 웹사이트를 해킹할 수 있다.
김영옥 기자
세계 각국은 긴급 대응에 나섰다. 미 국가안보국(NSA)은 이날 발표한 보안 권고문에서 각 기관에 관련 보안 패치의 적용을 당부하며, 즉각 업데이트가 어려우면 당분간 시스템을 오프라인으로 전환하라고 밝혔다. 로이터에 따르면 프랑스 내무부와 네덜란드 국가사이버보안센터 등 유럽 정부 기관 다수도 웹사이트 운영을 일시 차단했다.
정부 당국이 나섰지만, 국내에선 보안 업데이트가 적용되지 않는 구(舊) 버전을 사용 중인 사이트가 다수인 것으로 알려지면서 해킹 우려가 커지고 있다.
━
로그인 없이도 뚫렸다 “즉시 최신버전 받아야”
프랑스 보안업체 시벨앙젤(CybelAngel)에 따르면 한국에서 PHP 8.1 이하 옛날 버전을 쓰는 서버는 2만5000대로, 버전이 확인된 서버 중 82%에 달했다. 8.1 이하 버전은 공식 업데이트가 제공되지 않아, 8.3 이상의 최신 버전으로 전환해야 공개된 보안 패치를 적용할 수 있다. 과기정통부는 PHP를 사용하는 기업·기관은 운영 중인 모든 홈페이지와 시스템의 PHP 버전을 확인하고 최신 버전으로 즉시 전환하라고 권고했다. 업데이트가 어려울 경우 외부 접속을 차단하거나 사이트를 일시 중지하라고 덧붙였다. 배경훈 과기정통부 장관 겸 부총리는 페이스북을 통해 “고객 정보 유출이나 홈페이지 변조 등 피해로 이어질 수 있어 신속한 대응이 필요하다”고 말했다.
김지윤 기자
이번 사태는 인간이 수년간 못 찾았던 취약점을 AI 모델이 발견했다는 측면에서 더 치명적이라는 평가가 나온다. 사이버 보안 회사 칼리프는 지난 8월 오픈AI가 지원한 PHP 소스코드 보안 감사 과정에서 오픈AI의 프런티어 모델 ‘GPT-5.6 솔(Sol)’을 활용해 이 취약점을 발견했다. 해당 취약점은 수년간 PHP 소스코드에 숨겨져 있었다. 관련 보안 담당자들은 문제 소지 코드를 수년 전 발견했는데, ‘해킹에 쓰이기 어려운 통상적인 취약점’으로 보고 별도 조치를 취하지 않았다. 하지만 AI가 이를 통해 해킹할 수 있다는 점을 보여주면서 비상이 걸렸다. 두 달간 코드를 보완해 온 개발진은 당초 22일(현지시간) 보안 패치를 공개할 계획이었으나, 이틀 전인 20일 개발자 커뮤니티에 정보가 사전 유출되면서 배포 일정을 하루 앞당겼다. 구글 산하 보안업체 ‘위즈’의 공동창업자인 아미 루트왁은 “AI가 없었다면 너무 복잡해서 인간의 눈으론 결코 발견할 수 없었을 결함”이라고 말했다.
보안업계에선 “AI가 인간이 못 찾는 제로데이 취약점을 점점 빨리 찾고, 공격하기도 쉬워질 것”이란 관측이 나온다. 사이버 보안 업체인 이로운앤컴퍼니 윤두식 대표는 “오픈소스(소스코드나 가중치를 공개한 모델) AI 모델들이 많이 개발되면서, 굳이 최상위 모델을 쓰지 않더라도 공격 취약점을 찾을 수 있어 공격 시도가 늘어날 것”이라고 전망했다.
이 때문에 정부가 웹사이트 전수조사 등 선제 조치를 해야 한다는 지적도 나온다. 김승주 고려대 정보보호대학원 교수는 “기업들이 스스로 운영하고 있는 서버를 제대로 파악하지 못하는 경우도 많다”며 “전수조사를 해 보안사고를 미리 방지해야 한다”고 말했다.
