인공지능(AI)이 10년 넘게 PHP에 숨어 있던 보안 결함의 치명적인 위험성을 밝혀냈다. AI를 활용하면 오랫동안 발견되지 않았거나 공격이 어려웠던 취약점도 단기간에 뚫을 수 있다는 사실이 입증된 것이다. 이는 보안 연구 성과인 동시에 해커들도 AI를 무기로 새로운 공격에 나설 수 있다는 경고다.
◇비밀번호 없이 서버 장악…어떻게 가능했나
글로벌 보안업체 위즈(Wiz)는 PHP 취약점을 악용해 관리자 아이디나 비밀번호 없이 서버에서 악성 코드를 실행할 수 있다는 사실을 입증했다. 위즈는 이를 'PHP2Shell'로 명명하고, 워드프레스·드루팔·줌라 등 널리 사용되는 웹사이트 제작 도구의 최신 버전에서도 공격에 성공했다.
이는 개별 웹사이트를 아무리 안전하게 개발했더라도 이를 작동시키는 PHP에 취약점이 있다면 해킹 위협에 노출될 수 있다는 의미다.
위즈가 분석한 취약점 2건은 모두 PHP의 메모리 관리 결함에서 비롯됐다. 해커는 이를 악용해 관리자 계정에 로그인하지 않고도 서버에서 악성 코드를 실행하거나 비밀번호·인증 토큰 등 민감한 정보를 탈취할 수 있다.
첫 번째는 파일 업로드 요청 등을 조작해 PHP에 메모리 부족 오류를 일으키는 방식이다. 해커는 PHP가 오류를 처리하면서 메모리 정보를 잘못 다루는 결함을 악용해 서버가 원래 실행하지 않아야 할 코드를 실행하도록 만들 수 있다.
두 번째는 사용이 끝난 메모리를 PHP가 다시 참조하는 문제다. 해커는 이 오류를 악용해 프로그램의 실행 흐름을 조작하고 악성 코드를 실행할 수 있다.
특히 일부 웹서버 환경에서는 홈페이지의 로그인·보안 기능이 작동하기 전에도 공격이 가능하다.
위즈는 “이번 취약점은 개별 웹사이트가 아닌 PHP 자체에 존재해 영향 범위가 광범위하다”며 “오랫동안 존재했던 결함이 실제 공격으로 이어질 수 있다는 사실이 확인된 만큼 즉각적인 보안 업데이트가 필요하다”고 강조했다.
◇2년 전 발견된 결함…AI가 공격 입증
문제가 된 PHP의 메모리 처리 결함은 사실 2년 전부터 개발진이 인지하고 있었다. 그러나 실제 공격 가능성을 입증하지 못한 데다 수정 과정의 기술적 어려움과 인력 부족 등이 겹치면서 해결되지 않은 채 남아 있었다.
PHP 재단은 2024년 외부 보안 점검 과정에서 해당 결함을 발견했다. 당시 해킹에 악용될 가능성은 제기됐지만 실제 서버를 장악할 수 있는 구체적인 공격 방법까지 확인하지 못했다.
수정도 쉽지 않았다. 결함을 고치는 과정에서 기존 프로그램과의 호환성이 깨지거나 새로운 보안 문제가 발생할 우려가 있었다. 전문인력 부족과 의사결정 지연까지 겹치면서 수정 작업은 장기간 지연됐다. PHP 재단은 이를 '구조적 실패'라고 인정했다.
상황이 바뀐 것은 올해 8월 외부 보안 연구진의 취약점 신고가 잇따르면서다. 8월 11일 보안업체 캘리프(Calif)와 오픈AI가 각각 기존 결함을 악용해 서버에서 악성 코드를 실행할 수 있다는 사실을 확인해 PHP 개발진에 신고했다. 위즈(Wiz)도 같은 달 24일 독립적으로 발견한 공격 경로를 제보했다.
그동안 가능성에 머물렀던 해킹 위험이 실제 공격으로 입증되면서 PHP 개발진은 취약점 수정을 최우선 과제로 전환했고 지난 21일 공식 패치를 공개했다.
◇AI가 바꾼 해킹과 보안의 속도
이번 취약점 발견 과정에서 주목할 부분은 인공지능(AI)이 보안 연구에 미친 영향이다. 복잡한 취약점 분석부터 실제 공격 구현까지 필요한 시간과 전문성의 장벽을 크게 낮췄기 때문이다.
위즈는 자체 보안 분석 도구 '위즈 아틀라스'와 구글 '제미나이 4 아르곤', 오픈AI 'GPT-5.6 솔'을 활용해 PHP 소스코드를 분석하고 공격에 필요한 조건을 찾아냈다. 8월 19일 첫 취약점을 발견한 데 이어 20일 드루팔, 21일 워드프레스에서 관리자 인증 없이 서버에서 악성 코드를 실행하는 공격을 입증했다.
위즈는 “최첨단 AI 모델과 분석 도구를 활용해 연구자 한 명이 과거 세계 최고 수준의 연구팀이라면 수개월이 걸렸을 작업을 일주일 만에 완료했다”고 밝혔다.
다만 공격자도 AI를 활용하면서 과거 고도의 전문성이 요구됐던 해킹 진입장벽이 낮아졌다는 평가도 나온다.
위즈는 “과거에는 공격하기 어렵다고 여겨졌던 취약점도 AI가 공격 개발과 수정에 필요한 노력을 줄이면서 현실적인 공격 대상으로 바뀌고 있다”고 분석했다.
보안 연구의 발전이 역설적으로 공격자의 역량까지 끌어올릴 수 있다는 의미다.
관건은 취약점을 발견하는 속도에 검증과 수정 작업이 따라갈 수 있느냐다.
PHP 재단은 올해 7월 이후 15건의 취약점을 공식 등록했지만, 잘못됐거나 중복됐거나 재현할 수 없는 신고도 100건 넘게 처리했다고 밝혔다. 실제 보안 위협 여부를 가려내야 하는 검증 부담이 커지고 있다는 설명이다.
PHP 재단은 “AI 도구는 방어자와 공격자 모두가 과거 어느 때보다 빠르게 취약점을 찾아낼 수 있게 하지만, 적절한 수정 방법을 결정하고 패치를 검증하는 일은 숙련된 개발자의 몫”이라며 “이를 담당할 전문인력이 여전히 부족하다”고 강조했다.
박진형 기자 jin@etnews.com
