브리핑►IT과학

AI가 찾아낸 PHP의 10년 묵은 구멍 — 전 세계 웹사이트 긴급 패치, 우리 사이트는 괜찮을까

PHP 취약점 긴급 패치를 나타낸 이미지

한눈에 요약

  • 무슨 일? 인공지능(AI)이 웹 프로그래밍 언어 PHP에서 10년 넘게 숨어 있던 치명적 결함 2건을 찾아냈습니다. 한국인터넷진흥원(KISA)은 21일 보안 업데이트를 권고했고 PHP 개발팀은 한국시간 21일 밤 수정 버전을 긴급 배포했습니다.
  • 왜 중요? 웹기술 분석업체 W3Techs에 따르면 사용 언어를 식별할 수 있는 웹사이트의 약 75%가 PHP를 씁니다. 전체 웹사이트의 약 43%가 쓰는 워드프레스도 PHP 위에서 돌아갑니다.
  • 핵심 숫자: 두 취약점 모두 CVSS 4.0 기준 9.2점(10점 만점, 치명적), 수정 버전 8.2.35·8.3.36·8.4.27·8.5.12.

무슨 일이 있었나

테크42 보도에 따르면 이번에 확인된 취약점은 두 가지입니다.

식별번호 유형 설명
CVE-2026-109618 부적절한 예외 상황 처리 예외 상황을 제대로 처리하지 못하는 결함
CVE-2026-109619 해제 후 사용 이미 반납된 메모리를 다시 참조하는 결함

두 결함은 국제 취약점 평가 기준 CVSS 4.0에서 각각 9.2점을 받아 치명적 등급으로 분류됐습니다. 공격자는 별도 인증 없이 원격으로 악성 코드를 실행할 수 있다고 합니다. 원인은 PHP가 하나의 작업 프로세스로 여러 요청을 이어서 처리하는 방식에 있습니다. 앞선 요청이 쓰고 반납한 메모리 정보가 제대로 지워지지 않으면 다음 요청이 이를 살아 있는 데이터로 착각할 수 있고, 메모리 한도 초과 같은 비정상 상황이 정리 작업을 끊을 때 이런 틈이 생깁니다.

영향받는 버전

영향을 받는 것은 현재 지원 중인 PHP 8.2, 8.3, 8.4, 8.5 계열입니다. 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 미만이면 위험에 노출됩니다. KISA는 공식 보안 지원이 끝난 8.1 이하 버전을 지원 버전으로 옮기라고 강조했습니다. PHP 측이 이번 사안에 한해 구버전용 임시 수정 코드를 내놨지만 정규 업데이트 대상은 아닙니다.

각국 반응

  • 정보 선유출: 취약점 세부 내용이 공식 패치 하루 전인 20일 온라인에 먼저 유출됐습니다.
  • 웹사이트 중단: 로이터 등에 따르면 네덜란드와 핀란드 정부기관은 패치 공개 전 예방 차원에서 웹사이트를 내렸습니다. 네덜란드에서는 정부 포털과 로테르담항, 주요 정당, 병원 웹사이트가 오프라인으로 전환됐고, 덴마크·캐나다 등에서도 일부 서비스가 일시 중단됐다고 전해졌습니다.
  • 경보: EU 컴퓨터비상대응팀(CERT-EU)과 영국 국가사이버보안센터(NCSC)는 즉시 패치가 어려우면 시스템을 오프라인으로 돌리는 방안을 검토하라고 권고했습니다. 일본·호주도 긴급 업데이트를 요청했고 클라우드플레어는 방화벽 규칙을 배포했습니다.
  • 피해 여부: 미국 사이버보안·인프라보안국(CISA)은 공지 시점까지 악용 사례를 관측하지 못했고, 일부 보안업체는 공격 시도는 있었지만 성공 사례는 확인되지 않았다고 전했습니다.

AI가 방패이자 창

위즈(구글 계열 보안기업)는 자체 AI 취약점 연구 도구와 구글·오픈AI의 AI 모델을 활용해 결함을 찾았다고 밝혔습니다. 미국 AI 레드팀 기업 캘리프도 오픈AI 프로그램을 통해 문제를 발견했습니다. 위즈는 이 결함이 10년 넘게 PHP 코드에 숨어 있었고 사람만으로는 찾기 극히 어려웠을 것이라고 설명했습니다.

보도는 같은 도구가 공격자 손에 들어가면 패치가 퍼지기 전 빈틈을 파고드는 창이 될 수 있다는 우려도 전했습니다. 결함을 찾는 속도가 빨라진 만큼 패치를 얼마나 빨리 적용하느냐가 보안의 승패를 가른다는 진단입니다.

나에게 미치는 영향 — 이렇게 점검하세요

  • 서버·사이트 운영자: 서버의 PHP 버전을 먼저 확인하고 위 수정 버전 이상으로 올리세요. 8.1 이하라면 지원 버전으로 이전이 필요합니다.
  • 워드프레스 사용자: 워드펜스는 워드프레스 자동 업데이트로는 이번 수정이 적용되지 않는다며 서버의 PHP 관리 주체부터 확인하라고 당부했습니다. 호스팅을 쓴다면 업체의 업데이트 일정을 점검하세요.
  • 일반 이용자: 사이트 이용 자체로 즉시 조치할 일은 없지만 비밀번호 재사용을 피하고 사이트 공지를 확인하세요.

이 글은 보안 컨설팅이 아니며 구체적 조치는 서버 관리자와 호스팅 업체 안내를 따르세요.

자주 묻는 질문

Q. 모든 PHP 사이트가 위험한가요?
A. 영향 버전은 8.2~8.5 계열 중 수정 버전 미만입니다. 버전 확인이 우선입니다.

Q. 실제 피해가 있었나요?
A. 기사 시점에서는 악용 사례가 확인되지 않았습니다.

Q. 왜 정부가 사이트를 내렸나요?
A. 패치 전 세부 내용이 먼저 유출돼 예방 차원에서 일부 기관이 서비스를 중단했습니다.

앞으로 지켜볼 것

  • 실제 악용 사례와 피해 여부
  • 호스팅·CMS 업체의 패치 적용 속도
  • AI 기반 취약점 발견이 보안에 미치는 영향

참고 자료