PHP 보안 비상 어떤 내용?…로그인 없이 웹사이트 장악 가능

AI가 보안상 취약점 발견하면서 드러나
인증절차없이 웹서버 원격 장악 가능해
국내서도 최신 보안버전 업데이트 권고

김덕준 기자 casiopea@busan.com ｜ 2026-10-24 13:59:22

가

전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 ‘PHP’에서 치명적인 보안 취약점이 드러나면서 세계 각국마다 인터넷 보안에 비상이 걸렸다. 로이터 연합뉴스

전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 ‘PHP’에서 치명적인 보안 취약점이 드러나면서 세계 각국마다 인터넷 보안에 비상이 걸렸다. 이 결함은 해커가 로그인이나 별도의 인증 절차 없이 웹서버를 원격으로 장악할 수 있는 보안상 취약점이다.

특히 이번 사태는 10년 넘게 PHP 내부에 숨어 있던 결함이 인공지능(AI)을 활용한 코드 분석 과정에서 발견됐다는 점에서 주목된다. AI가 오랫동안 감춰져 있던 결함을 찾아내긴 했으나 AI가 사이버보안에 위협을 줄 수 있다는 점도 동시에 부각되고 있다.

24일 연합뉴스에 따르면 PHP는 웹 서버에서 동적 웹페이지를 구동하기 위해 전 세계에서 가장 널리 쓰이는 프로그램 언어다. 전 세계 웹사이트 중 76%가 PHP를 기반으로 동작한다고 보고 있다. 웹사이트에서 이용자의 로그인이나 게시글 작성, 상품 결제 등의 요청을 서버가 처리하도록 하는 프로그램을 만드는 데 쓴다. 전 세계적으로 널리 이용되는 웹사이트 제작 도구인 워드프레스도 PHP를 기반으로 한다.

결함은 서버가 HTTP 요청(웹 브라우저가 보내는 메시지)을 처리하는 과정에서 발생하는 메모리 관리 오류다.

공격자가 조작된 데이터를 특정 방식으로 전송하면 PHP 코어 엔진의 메모리 한계치를 자극해 시스템 내부에서 임의 코드를 실행할 수 있다.

이렇게 한뒤 공격자는 서버 명령 실행 권한을 이용해 웹사이트에 저장된 정보를 유출하거나 서버 자체를 장악할 수도 있다.

이번 취약점은 보안업체 캘리프 연구진이 오픈AI의 첨단 추론 모델을 활용해 오픈소스 코드를 분석하던 중 지난 8월 처음 포착됐다. PHP 코어 내부 로직에 조용히 잠복해 있던 결함이 고도화된 AI 분석 도구를 거치며 구체적인 악용 경로로 규명된 셈이다.

문제의 심각성을 확인한 PHP 재단은 지난 21일 밤 11시 보안 패치 버전을 배포했다.

하지만 패치가 공개되는 시점을 전후해 취약점 세부 내용과 공격 개념 증명(PoC) 코드가 유출되면서, 전 세계 네트워크와 허니팟(해킹 유인 시스템)에서 실제 공격 시도가 즉각 관측되기 시작했다.

한국인터넷진흥원 역시 21일 긴급 보안 공지를 발표하고 국내 기업과 웹서비스 운영자들에게 최신 보안 버전으로 즉각 업데이트할 것을 권고했다. 특히 보안 업계는 구버전을 운용 중인 중소·영세 웹사이트들을 핵심 위험 요소로 지목한다.

전문가들은 보안 패치를 적용한 뒤 웹서버와 PHP-FPM 프로세스 관리자를 완전히 재시작해야 취약점이 차단된다고 설명한다.

임준오 티오리 AI&사이버리서치팀 수석연구원은 “PHP2Shell은 애플리케이션 코드와 관계없이 서버 전체를 위험에 빠뜨릴 수 있는 최고 위험도의 취약점”이라며 “패치 전까지는 임시 완화책과 점검 스크립트를 적용해 설정 상태와 침해 여부를 즉시 확인해야 한다”고 말했다.