로그인 없이 뚫리는 서버, PHP 긴급 패치 — 사이트 운영자라면 오늘 확인할 것

지난 10월 21일은 전 세계 웹사이트 운영자들에게 유난히 바쁜 하루였습니다. 우리가 매일 여는 수많은 웹사이트를 뒤에서 움직이는 토대 언어, PHP에서 심각한 보안 결함이 발견돼 긴급 수정판이 나왔고, 일부 나라에서는 정부 웹사이트가 예방 차원에서 아예 문을 닫기도 했거든요.

PHP가 무엇인지부터 짚어 볼게요. 화면 뒤에서 PHP라는 프로그래밍 언어로 돌아가는 웹사이트는 생각보다 아주 많습니다. 1995년에 처음 등장한 이 오래된 언어는 워드프레스로 만든 블로그와 쇼핑몰, 드루팔, 그리고 위키백과를 움직이는 미디어위키까지, 눈에 잘 띄지 않는 지하실 같은 자리에서 웹의 상당 부분을 떠받치고 있어요.

이번에 문제가 된 것은 특정 프로그램이 아니라 PHP 엔진 자체에 숨어 있던 메모리 안전 결함 두 건(CVE-2026-109618, CVE-2026-109619)입니다. 연구자들이 두 결함을 묶어 PHP2Shell이라는 이름을 붙였어요. 쉽게 말하면 이런 모습이에요. PHP가 방문자의 요청을 처리하다가 메모리가 부족해 일이 중간에 끊기면, 반쯤만 만들어진 내부 데이터가 정리되지 않은 채 남을 수 있습니다. 그런데 뒷정리 과정이 그 데이터를 멀쩡한 것으로 착각하거나, 이미 비워진 메모리를 가리키는 낡은 상태가 다음 방문자의 요청에 그대로 재사용되면서 문제가 생기는 거예요.

무서운 지점은 공격의 조건입니다. 공격자는 로그인을 할 필요가 없고, 웹사이트 자체의 코드가 아무리 깔끔하게 짜여 있어도 소용이 없습니다. 결함이 그 아래층인 엔진에 있으니까요. 보안 회사 Wiz는 최신 워드프레스와 드루팔, 줌라 환경에서 로그인 없이 서버에서 임의의 코드를 실행하는 데 성공했다고 밝혔고, 코드 실행까지 가지 않더라도 서버 메모리에 남아 있는 비밀번호나 인증 토큰, API 키 같은 민감한 정보가 새어 나갈 수 있다고 경고했습니다. 해당 기능을 쓰지 않는 사이트도 영향을 받을 수 있다는 게 연구진의 설명이에요. 심각도를 매기는 국제 점수(CVSS)로는 10점 만점에 9.2점, 최고 수준에 가까운 평가를 받았어요.

영향 범위도 넓습니다. 웹 요청을 받는 PHP 설치 환경 전반이 대상이고, 그중에서도 아파치 웹서버에 PHP를 붙여 쓰는 방식(mod_php)의 위험도가 가장 높게 평가됐습니다. 더 놀라운 건 이 결함의 뿌리가 2012년에 나온 PHP 5.4 시절 코드까지 거슬러 올라간다는 점이에요. 10년 넘게 아무도 모른 채 숨어 있던 셈입니다. 다만 오래된 버전일수록 공식 수정판을 받지 못한다는 문제가 있어요. 이번 수정판은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12로 나왔고, 지원이 끝난 8.1 이하 버전에는 공식 수정판이 없습니다. 보안 업체 센시스(Censys)의 집계로는 패치되지 않은 채 인터넷에 노출된 서버가 157만 대가 넘었고, 버전이 식별되는 PHP 가운데 이번 업데이트 대상에 드는 것은 약 3분의 1뿐이라는 분석도 나왔습니다. 나머지는 대부분 오래된 버전을 그대로 쓰고 있다는 뜻이에요.

공개 과정도 순탄하지 않았습니다. 결함은 지난 8월에 발견돼 PHP 보안팀에 보고됐고, 9월부터는 비공개로 협의하면서 수정 작업이 진행되고 있었어요. 원래 공개와 수정판 배포는 10월 22일로 잡혀 있었는데, 10월 20일에 취약점 번호와 관련 영상이 온라인에 새어 나가면서 PHP 재단이 일정을 하루 앞당겼습니다. 유출된 정보에는 심각도 점수가 10점으로 잘못 적힌 부분까지 섞여 있어 한때 혼선이 더 커지기도 했어요. 패치가 나오기도 전인 10월 17일에 이미 아마존의 감시용 함정(허니팟)에 첫 공격 시도가 찍혔다는 대목에서는 등골이 서늘해집니다.

각국 정부의 반응은 이례적으로 강했습니다. 미국 국가안보국(NSA)은 당장 고칠 수 없으면 시스템을 오프라인으로 내리라고까지 권고했고, 사이버보안국(CISA)도 같은 취지의 경보를 냈습니다. 핀란드와 네덜란드의 정부 사이트들, 위키미디어 재단의 일부 시스템이 예방 차원에서 실제로 중단됐고, 네덜란드 사이버보안센터는 자기 기관의 웹사이트부터 내렸을 정도였습니다. 일본 총리도 PHP로 돌아가는 사이트를 점검하라고 촉구했어요. 클라우드플레어 최고경영자는 공개 직후 공격 시도가 수백만 건으로 늘었다고 밝혔지만, 다행히 지금까지 실제로 침해에 성공한 사례가 확인돼 공개된 것은 없습니다.

이 사건에서 특히 눈길을 끄는 건 결함을 찾아낸 쪽의 풍경입니다. 주인공은 사람이 이끄는 연구팀과 AI 도구의 조합이었어요. 보안 업체 Calif의 연구자들은 OpenAI의 GPT-5.6 Sol을 활용해 결함 중 하나를 찾아냈고, 이 작업은 OpenAI가 시작한 오픈소스 보안 프로그램 'Patch the Planet'의 일부였습니다. 구글 산하 보안 회사 Wiz의 연구자들은 자체 도구와 구글의 Gemini 4 Argon, GPT-5.6 Sol을 함께 써서 두 결함을 따로 발견해 보고했고요. OpenAI는 이번 일을 '최근 기억 속에 가장 영향력이 큰 보안 문제 중 하나'라고 표현했습니다. AI가 혼자 뚝딱 찾아낸 게 아니라, 연구자가 어디를 파야 할지 방향을 정하고 AI가 방대한 코드를 읽고 가설을 검증하는 속도를 끌어올린 그림에 가깝습니다.

Wiz는 프론티어 AI 모델 덕분에 한 명의 연구자가 일주일 만에, 예전 같으면 세계적인 전문가 팀이 몇 달은 걸렸을 일을 해냈다고 평가했습니다. 그러면서 이번 결함들을 'AI가 발견한 가장 심각한 취약점'이라고 부르기도 했어요. 공개 전부터의 움직임도 남달랐습니다. Wiz와 PHP 팀, Calif, OpenAI가 손을 잡고 수정과 검증을 진행하는 동안, 클라우드플레어와 아마존, 마이크로소프트, 구글 클라우드 같은 대형 업체들이 공개 전부터 고객용 완화책과 탐지 방법을 준비해 뒀거든요. 재미있는 곁가지도 있어요. PHP 재단은 올해 초 앤트로픽의 클로드 Mythos로 코드베이스를 미리 스캔한 적이 있지만, 정작 이번 결함을 보고한 것은 Calif와 Wiz, OpenAI의 연구자들이었습니다. AI로 코드를 훑어 약점을 찾는 일이 방어의 일상이 되어 가는 중이라는 뜻이기도 합니다.

기사들에서 가장 크게 보인 숫자는 '전 세계 웹사이트의 70퍼센트'였는데요, 이 숫자는 정확히 읽을 필요가 있습니다. 70퍼센트는 Wiz가 내놓은 주장이고, BBC는 이 수치를 검증할 수 없다고 분명히 했습니다. 웹 기술 통계를 내는 W3Techs의 집계로는 서버 언어가 확인되는 웹사이트 가운데 PHP를 쓰는 비율이 약 69퍼센트 수준이에요. 세는 그릇이 서로 다른 숫자들이라, '인터넷의 70퍼센트가 뚫렸다'고 받아들이면 과장이 됩니다. 다만 PHP가 웹에서 차지하는 비중이 워낙 크다는 사실 자체는 분명합니다.

웹사이트를 운영하는 분들이라면 할 일은 하나로 모입니다. PHP를 수정된 버전으로 올리고, 서버에서 도는 PHP 작업을 다시 시작하는 거예요. PHP 프로젝트는 업데이트가 유일하게 완전한 해결책이라고 못 박았습니다. 워드프레스나 플러그인을 최신으로 맞춰 두어도 그 아래 엔진이 옛날 버전이면 소용이 없고요. 호스팅 업체를 쓰는 분들은 내 사이트가 어떤 PHP 버전으로 돌아가는지, 업체가 수정판을 적용했는지 확인해 보시길 권합니다. 오래된 버전을 쓰는 사이트라면 이번 기회에 버전을 올리는 계획까지 세우는 게 좋겠습니다. 일부 리눅스 배포판과 호스팅 업체들은 지원이 끝난 버전에 대한 백포트 수정까지 서둘러 내놨지만, 어디까지나 임시 방편에 가깝습니다. 패치를 마친 뒤에는 첫 공격 시도가 찍힌 10월 17일 이후의 접속 기록에 이상한 흔적이 없는지 살펴보는 것도 권고되고 있어요.

이번 일은 10년 넘게 숨어 있던 결함을 AI 시대의 새로운 눈이 찾아낸 사건으로 기억될 것 같습니다. 동시에 그 눈은 공격하는 쪽의 손에도 쥐어질 수 있다는 점에서, 차이는 결국 누가 더 빨리 찾아내고 더 빨리 고치느냐에서 갈리겠지요. 다행히 이번에는 방어 쪽이 먼저 움직였고, 여러 회사가 미리 손을 맞잡은 덕분에 큰 피해 없이 지나가고 있습니다. 눈에 보이지 않는 토대일수록 가끔은 이렇게 안부를 확인해야 한다는 걸 새삼 느끼게 됩니다.

데이터 출처: PHP 프로젝트 공식 보안 공지(2026년 10월 21일), Wiz Research 블로그, BBC News 보도, CERT-EU와 CISA 경보, 아마존과 클라우드플레어 발표, W3Techs 통계.