웹사이트의 약 70%를 구동하는 프로그래밍 언어 PHP의 두 가지 치명적 취약점이 연구진이 비밀번호 없이 공격자가 서버를 장악할 수 있음을 입증한 뒤 이번 주 전 세계적 패치 소동을 촉발했다.
이 취약점은 보안업체 위즈, 캘리프와 협력한 OpenAI 모델을 활용해 발견됐다. 이 그룹은 해당 취약점 묶음을 PHP2Shell이라는 별명으로 불렀다. 취약점 중 하나는 14년 동안 언어에 잠재해 있었다.
취약점이 허용하는 것
공격자는 인증 없이 영향을 받는 웹 서버를 장악하고 비밀번호와 세션 데이터가 담겨 있을 수 있는 메모리를 읽을 수 있었다. PHP는 워드프레스, 드루팔, 그리고 수많은 맞춤형 사이트의 기반이기 때문에, 노출 범위는 기술 기업뿐 아니라 병원, 소매업체, 정부 포털에까지 미친다.
위즈는 심각도를 2014년 웹 전반의 데이터를 노출시킨 암호화 버그 하트블리드에 비유했다. 연구진은 이 취약점이 인간 분석가가 악용할 수 있는 경계에 있을 만큼 어렵지만, 공격 단계를 스스로 실행할 수 있는 AI 에이전트에게는 쉽다고 말했다.
조직에 조치를 권고한 곳
미국 국가안보국(NSA)과 유럽연합 사이버보안기구는 즉각적인 패치를 권고했다. 두 기관 모두 신속히 업데이트할 수 없는 시스템은 오프라인으로 전환해야 한다고 밝혔다. 일부 유럽 정부 사이트는 실제로 그렇게 했고, 공공 서비스 일부가 하루 동안 중단됐다.
클라우드플레어의 최고기술책임자 데인 크네히트는 패치가 공개되기 전에 초기 공격 시도가 있었다고 말했다. OpenAI는 관리자가 설치 환경이 노출됐는지 확인할 수 있는 도구를 공개했다.
공개가 서둘러진 이유
이번 주 세부 내용이 온라인에 유출되면서 PHP 유지관리자들은 계획보다 일찍 권고문과 업데이트를 게시해야 했다. 이는 경고와 악용 사이의 간격을 좁혔는데, 방어자들이 가장 의존하는 간격이 바로 그것이다.
이번 사건은 양면성을 지닌다. AI는 수년간의 인간 검토가 놓친 버그를 찾아냈고, 같은 능력은 공격자가 익스플로잇을 더 빨리 작성하도록 도울 수 있다. 보안팀은 이제 간단한 시험에 직면했다. 패치하거나, 연결을 끊거나.