인터넷 웹사이트 70% 초비상... AI가 PHP 10년 묵은 초특급 해킹 취약점 찾아냄

요약 클라우드 보안 기업 위즈(Wiz Research)가 전 세계 웹사이트의 약 70%가 사용하는 핵심 웹 프로그래밍 언어인 PHP의 코어 엔진에서 심각한 원격 코드 실행(RCE) 취약점을 발견했다고 밝혔습니다. 이번 취약점에는 'PHP2Shell'이라는 이름이 붙었으며, CVSS 심각도 점수 9.2에 달하는 치명적인 보안 결함으로 분류되었습니다. PHP는 워드프레스(WordPress), 줌라(Joomla), 드루팔(Drupal), 위키피디아의 미디어위키(MediaWiki) 등을 구동하는 인터넷의 중추 언어입니다. 위즈의 분석에 따르면, 이번 취약점은 개별 웹사이트의 애플리케이션 코드가 안전하게 작성되었는지 여부와 무관하게 PHP 엔진 자체의 결함으로 인해 발생합니다. PHP 5.4 버전까지 거슬러 올라가 지난 10년 동안 출시된 거의 모든 PHP 버전이 영향을 받으며, 인증되지 않은 공격자도 원격에서 서버의 메모리 데이터를 훔쳐보거나 임의 코드를 실행해 서버 전체를 탈취할 수 있습니다. 노출될 수 있는 메모리 데이터에는 다른 요청이나 서버 자체에 속한 비밀번호, 인증 토큰, API 키, 인증서 등이 포함됩니다. 특히 이번 취약점 발견과 익스플로잇 제작 과정에서 프론티어 AI(최첨단 AI 모델)의 역할이 결정적이었습니다. 해당 결함 자체는 수십 년간 PHP 코드베이스에 잠들어 있었으나, 실제로 이를 악용해 공격을 성사시키기 위해서는 인간 연구자의 한계에 가까울 정도로 극도로 복잡한 공격 체인을 설계해야 했습니다. 그러나 OpenAI 등과의 협업을 통해 최신 AI 모델을 투입하자, 복잡한 메모리 레이아웃을 반복 테스트하고 디버깅하는 데 걸리는 장벽이 획기적으로 낮아졌으며 불과 몇 시간 만에 여러 CMS를 대상으로 작동하는 공격 코드가 완성되었습니다. 위즈는 2014년 하트블리드(Heartbleed), 2021년 로그포쉘(Log4Shell)이 인터넷 보안의 패러다임을 바꿨듯, PHP2Shell이 "복잡성이 더 이상 보안 방벽이 되지 못하는 AI 시대의 중대한 전환점"이 될 것이라고 평가했습니다. PHP 측은 핵심 엔진의 메모리 안전 결함을 해결하는 공식 보안 패치를 긴급 배포했으며, 아카마이, AWS, 클라우드플레어, 구글, 마이크로소프트 등 주요 빅테크 기업들도 즉각적인 패치가 어려운 환경을 위한 자체 완화책을 마련해 대응에 나섰습니다.