AI가 찾은 PHP 취약점, 여러분의 서비스는 안녕하신가요

어제는 늦은 밤까지 보안 작업을 했습니다. AI가 찾아낸 보안 취약점이 공개되면서 해킹 위험이 커졌고, 해당 기술로 만든 서비스들을 하나하나 점검하고 업데이트했습니다. 무슨 일이 있었는지, 무엇을 확인해야 하는지 정리합니다.

무슨 일이 있었나

10월 21일(미국 시간), 웹사이트를 만드는 데 가장 널리 쓰이는 프로그래밍 언어 중 하나인 PHP에서 치명적인 결함 두 개가 공개됐습니다.

위험도: 공격자가 로그인 없이 서버에 원하는 코드를 실행할 수 있습니다. 사실상 서버를 통째로 빼앗길 수 있다는 뜻입니다. 위험도는 10점 만점에 9.2점, '치명적' 등급입니다. 누가 찾았나: 보안업체 캘리프가 OpenAI의 AI 모델로 결함을 찾았고, 보안업체 위즈도 따로 두 결함을 발견해 보고했습니다. OpenAI가 이끄는 연구자·보안업체 연합이 약 두 달간 조용히 대응을 준비했습니다. 얼마나 숨어 있었나: PHP 5 시절부터, 10년 넘게 아무도 몰랐던 결함이라고 국내외 언론이 전했습니다.

공개 직후 벌어진 일

클라우드플레어 CEO는 발표 후 몇 시간 만에 공격 시도가 "수백만 건"에 달했다고 밝혔습니다. 아마존의 감시 시스템은 공식 공개 나흘 전에 이미 공격 시도를 포착했습니다. 미국 FBI는 즉시 업데이트할 수 없다면 웹사이트를 내리라고 권고했습니다. 일본 총리도 직접 PHP 사용 여부를 점검하고 패치를 설치하라고 당부했습니다. 네덜란드, 핀란드 등 유럽 일부 정부 기관은 예방 차원에서 사이트를 잠시 닫았습니다.

국내 상황

안랩은 국내에서 약 11만 대의 서버가 취약한 PHP 버전을 쓰고 있을 것으로 추정했습니다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 10월 22일 민간 분야 사이버 위기 경보를 '관심'에서 '주의'로 한 단계 올렸습니다.

지금 확인해야 할 것

PHP로 만든 서비스를 운영한다면 다음 순서로 점검하세요. 워드프레스, 그누보드, 라라벨 같은 도구도 PHP로 돌아갑니다.

버전 확인: 서버에서 php -v 명령으로 PHP 버전을 확인합니다. 업데이트: 아래 버전 이상으로 올립니다. PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 호스팅을 쓴다면: 직접 서버를 관리하지 않는다면 호스팅 업체가 패치를 적용했는지 확인합니다. 당장 못 올린다면: 업데이트 외에는 완전한 방어책이 없습니다. 웹 방화벽만 믿지 말고, 필요하면 업데이트 전까지 서비스를 잠시 내리는 것도 방법입니다. 이전 버전(PHP 7, 8.1 이하): 공식 패치 대상에서 빠진 오래된 버전은 지원되는 버전으로 옮겨야 합니다.

AI가 바꾼 보안의 속도

이번 사건이 보여 주는 것은 하나입니다. AI는 10년 넘게 숨어 있던 결함을 찾아낼 만큼 강력해졌고, 그 능력은 지키는 쪽과 공격하는 쪽 모두에게 열려 있습니다. 패치가 나오면 공격자도 바뀐 코드를 비교해 곧바로 공격 방법을 만들어 냅니다. 이제는 "공개되고 며칠 안에 고치면 된다"가 아니라, 공개된 그날 고쳐야 하는 시대입니다.

바이브코딩으로 서비스를 만드는 분들일수록 더 신경 써야 합니다. AI가 코드를 대신 써 줘도, 그 코드가 돌아가는 서버와 언어의 버전을 관리하는 것은 여전히 사람의 몫입니다.

여러분의 서비스는 안녕하신가요?