전 세계 웹사이트의 약 70%에 쓰이는 프로그래밍 언어 ‘PHP(Hypertext Preprocessor)’에서 해커가 서버를 통째로 장악할 수 있는 치명적 보안 결함이 발견됐다. 보안 업데이트 등을 하느라 각국에서 사이트 중단이 속출했다. 인공지능(AI)의 도움으로 찾아낸 결함이어서, AI가 소프트웨어 결함을 대량으로 찾아내 대응이 어려워지는 ‘버그마겟돈’(컴퓨터 오류 ‘버그’와 최후의 전쟁 ‘아마겟돈’의 합성어)이 현실화하고 있다는 우려가 나온다.

미국 월스트리트저널(WSJ)에 따르면 PHP 재단은 21일(현지시간) ‘PHP2셸’(셸은 서버에 명령을 내리는 창구)로 불리는 취약점 2건을 공개하고 긴급 보안 패치(수정 프로그램)를 배포했다.

1995년 공개된 PHP는 흔히 ‘웹의 중추’라고 불리며, 이용자가 웹사이트에서 요청한 작업을 서버에서 처리하고 그 결과를 웹브라우저로 보내주는 역할을 한다. 워드프레스와 위키피디아 등을 포함해 전 세계 웹사이트의 상당수를 구동한다. AI를 활용해 찾은 이번 결함은 10여년 만에 직면한 최악의 보안 문제로 평가된다. 패치를 설치하지 않은 서버에선 해커가 임의로 프로그램을 실행해 정보를 빼내거나 사이트를 변조할 위험이 있다.

대응 과정에서 PHP 재단의 공식 패치 배포 전 결함 정보가 먼저 노출돼 논란이 더 커졌다. 해커들이 패치에서 바뀐 부분을 역추적하면 공격법을 찾을 수 있어서다. PHP 재단은 패치를 먼저 내놓은 배포업체 ‘체인가드’가 “일방적으로 엠바고(공개 유예 약속)를 깼다”고 비판했다.

각국은 비상이 걸렸다. 프랑스 보안업체 사이벨앤젤이 인용한 집계에 따르면 인터넷에 노출된 PHP 서버 약 224만대 가운데 버전이 확인된 서버의 59%인 88만3717대가 정식 패치가 나오지 않는 구버전을 쓰고 있다.

이에 청와대 국가안보실은 22일 송기호 안보실 3차장 주재로 ‘민·관·군 사이버안보 긴급대책 회의’를 개최하고 PHP 보안 취약점에 따른 향후 위협 정보와 대응 현황을 실시간으로 공유하며 긴밀히 공조해 나가기로 했다. 정부는 이날 민간 분야 사이버위기 경보도 ‘관심’에서 ‘주의’로 상향했다.

미국 국가안보국(NSA)은 업데이트가 어려우면 시스템을 오프라인으로 돌리라고 권고했고, 네덜란드·프랑스·독일·체코·벨기에 등은 일부 정부 웹사이트를 선제 차단했다. 은행 등 민간기업도 시스템 점검에 나서면서 이용자들이 불편을 겪었다.

조병욱·이강진 기자 기자페이지 바로가기

Copyright ⓒ 세계일보. 무단 전재 및 재배포 금지