로그인 없이 서버 코드 실행 가능한 PHP 결함, 웹사이트 70%가 긴급 대응

2026년 10월 21일, 세계 여러 곳에서 정부·기관 웹사이트 접속 장애가 연달아 발생했다. 핀란드 정부는 일부 공공 웹서비스를 일시 중단했다. 영국 에든버러 시의회 홈페이지도 접속이 되지 않았다.

미국에 본부를 둔 인터넷 주소 관리 기구는 웹사이트 세 곳을 예방 차원에서 일시 중단했고, 호주에서는 정부 사이버 보안 기관의 웹사이트를 비롯한 일부 정부 사이트에 접속 장애가 생겼다. 많은 기관이 피해를 막기 위해 웹사이트를 일시적으로 닫았다.

유럽 사이버 보안 대응 조직은 보안 업데이트가 나오면 즉시 적용하고, 그것이 어렵다면 외부에서 접속할 수 없도록 해당 서비스를 차단하라고 권고했다. 영국 국가 사이버 보안 센터도 비슷한 권고를 냈고, 미국 국가안보국(NSA)은 당장 업데이트하기 어렵다면 시스템을 일시 중단하라고 발표했다.

이 긴급 대응을 부른 것은 PHP에서 확인된 보안 결함 두 가지였다. 조건이 맞으면 외부인이 로그인도 하지 않은 채 서버에서 코드를 실행할 수 있었다. 두 결함에 대한 PHP 위험도 평가는 10점 만점에 9.2점으로, 영상은 위험도가 매우 높았다고 설명한다.

연구자들은 이 결함을 조사하고 실제 위험을 확인하는 데 AI를 활용했다. 영상은 오래된 소프트웨어를 분석하는 AI의 능력이 이제는 여러 기간의 웹사이트 운영에까지 영향을 줄 수 있다고 본다.

2번 결함이 특히 위험한 이유는 로그인도 하지 않은 채 외부인이 웹사이트 서버에서 원하는 코드를 실행할 수 있다는 점이다. 보안 분야에서는 이를 원격 코드 실행이라고 부른다. 웹사이트에 접속하면 브라우저가 서버에 페이지를 보여 달라는 요청을 보내는데, 이번에는 공격자가 이 요청을 특수하게 조작해 로그인 없이도 서버의 취약점을 악용할 수 있었다.

서버에서 코드를 실행할 수 있다는 것은 웹사이트 프로그램이 가진 권한을 공격자도 쓸 수 있다는 뜻이다. 미국 국가안보국은 이번 결함이 서버 내부의 파일이나 데이터베이스에 접근하는 통로가 될 수 있다고 경고했다. 회원 정보를 다루는 서버라면 개인정보가 빠져나갈 수 있고, 홈페이지 내용이 바뀌거나 서비스가 멈출 수도 있었다.

공격이 시작되는 시점도 문제였다. PHP 개발팀에 따르면 일부 서버에서는 웹사이트 프로그램이 실행되기도 전에 조작된 요청으로 공격이 가능했다. 웹사이트를 만든 개발자가 코드를 아무리 꼼꼼하게 짰더라도, 그 코드가 실행되기 전에 PHP 자체의 취약점이 악용될 수 있었던 것이다.

이 결함이 어떻게 가능했는지 이해하려면 먼저 PHP가 무엇인지 알아야 한다. 영상은 웹사이트를 식당에 비유한다. 손님이 앉는 홀은 우리가 직접 보고 누르는 화면과 버튼, 글자 배치에 해당하며 이를 프런트엔드라고 한다.

홀에서 받은 주문은 주방으로 넘어간다. 웹사이트에서 서버에 보내는 요청이 이 주문서에 해당한다. 로그인 버튼을 누르면 아이디와 비밀번호가 맞는지 확인하고, 게시판을 열면 저장해 둔 글을 꺼내 화면에 맞게 담아 보내는 일이 주방에서 일어난다. 손님 눈에는 보이지 않는 이 영역이 백엔드이며, 이 일을 처리하는 컴퓨터가 서버다. PHP는 바로 이 주방에서 쓰는 프로그래밍 언어다.

개발자가 PHP로 쓴 코드가 레시피라면, 그 레시피를 읽고 실제로 요리를 해내는 프로그램이 따로 있다. 이것을 PHP 실행 엔진이라고 부르며, 영상은 레시피만 넣으면 알아서 요리를 해 주는 자동 조리 기계라고 설명한다.

PHP는 1990년대 중반에 처음 나왔지만 지금도 많은 웹사이트가 사용하고 있다. 웹 기술 조사 업체 W3Techs 자료에 따르면, 서버 쪽에서 어떤 언어를 쓰는지 확인할 수 있는 웹사이트 가운데 약 70%가 PHP를 쓰고 있다. 블로그나 기업 홈페이지를 만들 때도 많이 쓰는 워드프레스 역시 PHP로 만든 프로그램이다.

서로 다른 기관이 서로 다른 레시피로 웹사이트를 만들었어도, 그 조리 기계는 같은 PHP 제품을 쓰고 있었다. 이번에 결함이 나온 것은 개별 레시피가 아니라 이 조리 기계 자체인 PHP였다. 레시피를 아무리 잘 써도 기계에 결함이 있으면 문제를 피하기 어렵다.

보안회사 위즈는 화면에 안내 문구 한 줄만 띄우는 아주 단순한 웹사이트도 취약한 버전의 PHP에서 돌아가고 있다면 공격 대상이 될 수 있다고 말했다. 결국 수많은 웹사이트가 같은 PHP 엔진 위에서 돌아가고 있었기 때문에, 엔진의 결함이 여러 나라와 기관이 동시에 대응해야 하는 문제가 됐다.

영상에 따르면 이번 두 결함은 PHP가 요청을 처리하다가 심각한 오류가 발생했을 때 내부 메모리를 제대로 정리하지 못하는 데서 비롯됐다. 대표적인 경우가 메모리 부족이다. PHP는 작업에 필요한 데이터를 메모리에 잠시 보관하는데, 이를 번호가 붙은 공용 사물함에 비유할 수 있다. 작업할 때 사물함을 빌려 쓰고 작업이 끝나면 다른 작업도 쓸 수 있도록 반납해야 하며, 이 반납이 메모리 해제에 해당한다.

첫 번째 문제는 사물함을 반납했는데도 그 칸을 사용하라는 기록이 남아 있는 경우다. 예를 들어 앞선 작업이 3번 칸을 쓰다가 중단되면서 3번 칸을 반납했지만, PHP 내부에는 여전히 필요한 데이터가 3번 칸에 있다는 정보가 남아 있는 것이다. 그사이 다른 작업이 3번 칸을 빌려 새 데이터를 넣을 수 있고, 여기에 공격자가 보낸 데이터가 들어가도 PHP는 예전 작업에 필요한 데이터로 알고 처리하게 된다. 이처럼 반납한 메모리에 예전 정보를 따라 접근하는 오류를 영어로 use-after-free, 해제 후 사용이라고 한다.

두 번째 문제는 사물함을 사용하기 위한 기록을 작성하다가 작업이 끊기는 경우다. PHP가 어떤 칸을 사용 중이라고 목록에 올렸더라도, 그 칸에 어떤 데이터가 있는지 기록을 마치기도 전에 메모리가 부족해져 작업이 중단될 수 있다.

이런 상태에서 뒷정리를 하면 문제가 생긴다. PHP는 목록을 보고 필요한 정보가 모두 준비됐을 거라고 생각하지만, 아직 제대로 작성되지 않은 기록을 바탕으로 정리하다 보니 엉뚱한 메모리에 접근하게 된다. 연구자들은 이런 메모리 처리 오류를 이용해 서버의 정보를 읽거나 자신들이 지정한 코드를 실행할 수 있다는 것을 확인했다.

놀라운 것은 이 결함이 꽤 오래전부터 있었다는 점이다. 미국의 AI 보안회사 캘리프는 문제 코드가 2012년에 나온 PHP 5.4 버전까지 거슬러 올라간다고 밝혔다. 오픈AI의 공동 창업자 그렉 브록먼도 약 14년 동안 이 코드에 남아 있었다고 밝혔다.

이번 결함을 찾는 데는 AI가 큰 역할을 했다. 캘리프는 8월 1일 오픈AI의 GPT 5.6을 활용하다가 첫 결함을 찾아냈고, 오픈AI가 이어서 조사하면서 결함의 다른 부분까지 찾아냈다. 사이버 보안회사 위즈도 자체 AI 도구인 위즈 아틀라스와 구글 제미나이 등을 활용해 독자적으로 조사한 결과 8월 19일 첫 결함을 발견했고, 이후 두 결함을 모두 확인했다.

위즈 연구팀은 발견한 결함으로 실제 서버를 공격할 수 있는지도 시험했다. 서버 환경이 달라지면 방법을 바꾸고, 작동하지 않으면 원인을 찾아 다시 시험했다. 위즈는 과거였다면 숙련된 연구팀도 몇 달이 걸렸을 일을 연구자 한 명이 AI와 함께 일주일 만에 해냈다고 설명했다. 첫 결함을 발견한 다음 날에는 드루팔, 그다음 날에는 워드프레스로 만든 시험용 웹사이트에서 로그인 없이 원격 코드 실행에 성공했다. 연구진은 AI의 도움으로 오래된 결함이 실제 공격에 쓰일 수 있다는 것을 확인한 것이다.

연구진은 이 사실을 대중에게 공개하기 전에 PHP 개발팀에 먼저 알렸다. 문제를 고칠 시간을 주기 위해서였다. 이후 약 두 달 동안 오픈AI는 PHP 개발팀과 보안업체, 정부 기관이 함께 대응할 수 있도록 도왔다. PHP 개발팀은 결함을 고친 뒤 10월 21일 공식 지원 중인 네 개 버전에 보안 업데이트를 내놓았다.

다만 보안 업데이트가 나오면 공격자도 단서를 얻을 수 있다. 고치기 전과 고친 뒤의 코드를 비교하면 어디에 문제가 있었는지 알아낼 수 있기 때문이다. 업데이트를 미룬 서버는 이 결함을 이용한 공격에 노출될 수 있다. 공개 전부터 일부 정보가 퍼졌고, 10월 20일에는 결함의 식별 번호가 인터넷에 퍼지기 시작했으며, 이후 공격 시연 영상까지 실수로 공개되는 일이 벌어졌다. 이에 PHP 개발팀은 보안 업데이트 공개일을 10월 22일에서 10월 21일로 하루 앞당겼다.

공개 후에는 실제로 공격 시도도 나타났다. 인터넷 보안업체 클라우드플레어는 자사가 보호하는 웹사이트를 겨냥한 공격을 확인했다고 밝혔다. 공격자들은 차단을 피하려고 서버에 보내는 데이터를 바꿔 가며 공격을 시도했다.

다만 공격 시도가 있었다는 것과 실제로 서버에 침입해 피해를 줬다는 것은 구분해야 한다. 독일 정부는 일부 웹사이트를 예방 차원에서 잠시 닫았으며, 발표 당시 확인된 보안 사고는 없었다고 밝혔다. 벨기에 국가 사이버 보안 센터도 당시 자국 웹사이트를 겨냥한 공격을 관측하지 못했다고 밝혔다.

이번에 고쳐야 하는 것은 웹사이트를 운영하는 서버 안의 PHP다. 그래서 사이트에 방문하는 일반 이용자가 컴퓨터나 스마트폰에 따로 설치해야 하는 업데이트는 없다. 웹사이트 운영자나 서버를 관리하는 업체가 PHP를 업데이트해야 한다.

문제는 오래된 PHP를 계속 쓰는 웹사이트다. PHP 8.1 이하 버전은 공식 지원이 끝나 보안 문제가 발견되어도 정기적인 업데이트를 받지 못한다. 이번에는 위험이 워낙 커서 PHP 보안팀이 일부 옛 버전에도 긴급 수정 코드를 제공했지만, 모든 옛 버전을 고쳐 준 것은 아니다. 별도의 보안 수정을 제공하는 업체의 지원을 받지 못한다면 공식 지원 중인 세 버전으로 반드시 옮겨야 한다. PHP는 수많은 웹사이트와 서버 관리 업체가 함께 쓰고 있어, 개발팀이 수정본을 내놓은 뒤에도 관리 업체와 사이트 운영자들이 각자의 서버에 적용해야 대응이 마무리된다.

우리가 매일 쓰는 프로그램에도 아직 발견하지 못한 결함이 남아 있을 수 있다. 코드가 복잡하거나 점검할 사람이 부족해 확인하지 못한 부분도 있을 것이다. AI가 이런 코드를 분석하고 실제로 문제가 생기는지 시험하는 일을 도우면서, 더 많은 프로그램을 꼼꼼하게 점검할 수 있게 되었다. 특히 PHP처럼 여러 서비스가 함께 쓰는 프로그램은 결함을 한 번 찾아 고치면 여러 곳에 적용할 수 있어, 그만큼 많은 웹사이트의 위험을 함께 줄일 수도 있다.

그러나 이번 경우에서 보듯 공격자도 AI를 활용할 수 있다. 결함을 찾아내고 그 결함으로 실제 공격을 시도하는 데 도움을 받을 수 있다. 오픈AI와 위즈도 AI가 공격에 필요한 도구를 만드는 일을 더 쉽게 해 줄 수 있다고 경고했다. 결국 결함을 찾아 고치는 속도와 그 결함을 이용해 공격하는 속도가 함께 빨라질 수 있다는 것이다.