PHP 취약점 비상, 유럽 정부와 공공기관 잇단 웹 접속 선제 차단

핵심요약

기사 핵심 요약

전 세계 웹사이트 70%가 사용하는 PHP에서 인증 없이 서버를 원격 장악할 수 있는 고위험 결함이 확인됐다. 유럽 각국 정부와 공공기관은 해킹 피해를 막기 위해 웹사이트 접속을 선제 차단했으며, 관리자들은 서버 엔진 패치를 신속히 적용해야 한다.

AI가 발견한 PHP 취약점으로 유럽 정부 사이트가 선제 차단되며 긴급 패치가 요구된다.

• AI 도구가 PHP에서 심각도 9.2점의 고위험 원격 코드 실행 취약점 2건을 규명했다.
• 네덜란드와 독일 등 유럽 각국 정부가 피해 예방을 위해 주요 공공 포털을 일시 중단했다.
• 전 세계 호스트의 과반이 구형 PHP를 사용 중이므로 즉각적인 엔진 버전 업그레이드가 필요하다.

인공지능(AI)이 웹 서버의 핵심 프로그래밍 언어에서 치명적인 PHP 취약점을 연달아 찾아내면서 유럽 각국 정부와 주요 기관들이 웹사이트 서비스를 일시 중단하는 초유의 사태가 발생했다. 공격자가 서버를 원격으로 장악할 수 있는 고위험 결함이 드러나자, 각국 기관들은 잠재적인 해킹 피해를 막기 위해 대외 접속 창구를 선제적으로 닫았다. 보안 패치가 긴급 배포됐으나 공격자 역시 AI를 악용해 미패치 서버를 노릴 수 있어 글로벌 IT 생태계 전반에 긴장감이 감돌고 있다.

유럽 주요 정부·기관 사이버 접속 차단 배경

유럽 각국 정부와 주요 공공기관이 웹사이트 접속을 전격 차단한 이유는 공격자가 인증 없이 서버 권한을 장악할 수 있는 원격 코드 실행 취약점이 확인됐기 때문이다. 네덜란드에서는 정부 공식 포털과 로테르담 항만, 주요 정당, 축구협회, 여러 대형 병원의 대외 웹사이트가 접속을 멈췄다. 현지 소프트웨어 기업 노투비즈의 서비스를 이용하던 네덜란드 지방자치단체와 주 정부, 물 관리기관 100곳 이상도 연쇄적으로 운영을 중단했다.

이번 조치는 북유럽과 중유럽 전역으로 빠르게 확산됐다. 덴마크에서는 초·중·고교 학부모 소통 플랫폼이 멈췄으며, 핀란드와 독일, 프랑스 역시 정부 웹사이트를 일시 차단하고 점검에 착수했다. 독일 프라이부르크대, 오스트리아 빈대 등 주요 교육기관과 위키미디어 재단, 인터넷 아카이브도 잠재적 위협에 대비해 일부 시스템을 내렸다.

차단 조치를 취한 기관 전체가 해킹 피해를 입은 것은 아니다. 독일과 핀란드 정부는 실제 침해 사고나 데이터 유출이 발생해 사이트를 닫은 것이 아니라, 패치가 적용될 때까지 서버를 보호하기 위한 예방적 대응 조치였다고 설명했다.

웹 서버 70% 구동하는 PHP와 취약점 'PHP2Shell' 실체

PHP는 웹 서버 환경에서 이용자 요청을 처리하고 동적 웹페이지를 생성하는 대표적인 오픈소스 서버 측 프로그래밍 언어다. 전 세계에서 서버 측 언어를 식별할 수 있는 웹사이트의 약 70%가 PHP를 사용하며, 전 세계 웹사이트의 약 40%를 차지하는 워드프레스를 비롯해 드루팔, 줌라 등이 모두 이 언어를 기반으로 작동한다.

'PHP2Shell'로 명명된 이번 두 건의 결함은 별도의 계정 로그인이나 비밀번호 입력 없이도 서버 내부에서 임의의 시스템 명령을 실행할 수 있게 만드는 치명적인 취약점이다. 보안 위험도 평가 지표에서 두 취약점은 각각 10점 만점에 9.2점이라는 매우 높은 심각도 점수를 기록했다. 공격자가 이를 악용할 경우 내부 기밀 데이터를 탈취하거나 웹페이지 변조, 서버 시스템 전체 장악까지 가능한 구조다.

세계 웹 인프라의 다수를 떠받치는 공통 기반 소프트웨어에서 결함이 드러난 만큼, 공격 대상이 될 수 있는 잠재적 표적의 범위는 상상을 초월한다. 단순한 웹 애플리케이션의 문제가 아니라 서버 운영체제 단에서 셸 명령을 직접 실행할 수 있다는 점에서 보안 전문가들은 사태를 무겁게 주시하고 있다.

AI 기반 결함 탐지와 공격 진입 장벽 완화

이번 취약점 발굴에는 오픈AI와 구글의 최첨단 인공지능 모델이 핵심적인 역할을 수행했다. 글로벌 사이버 보안업체 캘리프(Calif)는 'GPT-5.6 솔'을 활용해 결함을 탐지한 뒤 지난 8월 관련 기관에 최초 신고했다. 이어 알파벳 산하 보안기업 위즈(Wiz)도 구글의 '제미나이 4 아르곤'과 GPT-5.6 솔, 자체 AI 보안 도구를 교차 검증에 투입해 해당 문제를 독립적으로 확인했다.

위즈의 기술 분석에 따르면 해당 취약점은 10년 이상 PHP 내부 소스코드에 방치돼 있었지만, 실제 작동 가능한 공격 경로를 구성하는 과정이 극도로 복잡해 인간 연구자들의 눈을 피해왔다. 최근 사이버 보안 분야에서 제로데이 취약점을 탐색하는 AI 기술이 급격히 발전하면서, 고난도 결함을 분석하고 공격 진입 장벽을 무너뜨리는 속도가 눈에 띄게 단축됐다.

위즈는 세계적 수준의 보안 연구팀이 수개월에 걸쳐 매달려야 도출할 수 있는 취약점 체인을 단 한 명의 연구원이 AI 도구를 활용해 일주일 만에 규명했다고 밝혔다. 이는 방어자뿐 아니라 해커와 사이버 범죄 조직 역시 AI를 동원해 패치가 나오지 않은 시스템을 전례 없는 속도로 공략할 수 있음을 보여준다.

개발진의 조기 발견 실패와 패치 배포 현황

PHP 오픈소스 프로젝트를 이끄는 개발진은 문제의 징후를 사전에 포착했음에도 신속한 수정 패치를 내놓지 못했다. PHP 재단은 2024년에 이미 취약점 중 하나의 이상 징후를 발견했으나, 구체적인 침투 경로를 명확히 짚어내지 못했고 내부적으로 수정 방향조차 확정하지 못했다고 설명했다. 재단 측은 오픈소스 생태계의 자원 부족과 내부 의사결정 체계의 한계가 겹친 "구조적 실패"였다고 공식 인정했다.

공격 시연 영상과 상세 기술 정보가 보안 커뮤니티에 조기 유출되자, 개발진은 원래 계획했던 배포 일정을 하루 앞당겨 21일 공식 보안 패치를 긴급 출시했다. 그러나 소스코드가 공개되는 순간 악의적인 해커들 역시 패치 전후 코드를 비교 분석해 취약한 서버를 골라내는 '취약점 악용 경쟁'이 벌어지게 된다. 보안업체 TLP:블랙의 코스틴 라이우 공동창업자는 AI를 통한 무차별 공격 확산 가능성을 강력히 경고했다.

웹 보안 기업 클라우드플레어는 취약점 공개 직후 일부 초기 공격 시도를 감지하고 네트워크 레벨의 고객 보호 필터를 가동했다고 밝혔다. 대규모 침해 피해는 아직 보고되지 않았으나 인터넷 전반에서 무차별 스캐닝과 탐색 시도가 이어지고 있다.

보안 기관별 대응 권고 및 조치 요령

미국과 유럽의 주요 사이버 안보 기관들은 전 세계 웹 서버 관리자들에게 비상 지침을 하달하며 즉각적인 행동을 주문했다. 다음 표는 주요 안보 기관 및 관련 기관들이 제시한 핵심 조치 사항을 정리한 내용이다.

표: 글로벌 주요 보안 기관별 권고 및 조치 현황

기관 및 주체	대응 조치 및 핵심 권고사항(요약)	권고 기준 시점
미국 국가안보국(NSA)	패치 적용 전까지 인터넷 연결 시스템의 외부 접속 선제 차단	2026년 10월
미국 사이버보안·인프라보안국(CISA)	연방기관 및 주요 기반시설 대상 긴급 패치 지원 및 침해 모니터링	2026년 10월
영국 국가사이버보안센터(NCSC)	PHP 최신 업데이트 적용 및 기존 침투 흔적에 대한 정밀 포렌식 검사	2026년 10월
유럽 각국 정부 기관	네덜란드·독일·핀란드 등 주요 공공 포털 예방적 일시 중단	2026년 10월

각국 보안 당국은 즉각적인 패치 적용이 어려운 상황이라면 시스템을 네트워크에서 격리하는 편이 안전하다고 안내한다. 미국 사이버보안·인프라보안국(CISA)의 보안 공지에 따르면 정부 기관과 기업들이 패치를 서둘러 마칠 수 있도록 지원책을 가동 중이며, 발표 시점까지 대규모 악용 사례는 확인되지 않았다고 밝혔다.

구형 버전 서버의 한계와 실질적 대처 방안

워드프레스나 상용 솔루션을 사용하는 운영자는 단순한 CMS 자동 업데이트만으로 이번 위협을 막을 수 없다. CMS 관리자가 아닌 호스팅 서버에 설치된 PHP 바이너리 엔진 자체를 최신 버전으로 직접 업그레이드해야만 결함이 제거된다.

문제는 공식 기술 지원이 중단된 구형 PHP 버전을 방치하고 있는 서버들이다. 인터넷 보안 분석업체 센시스에 따르면 현재 온라인상에서 탐지된 약 260만 개의 웹 호스트 가운데 150만 개가 공식 업데이트 지원이 끝난 구형 PHP 환경에서 운영되고 있는 것으로 확인됐다(센시스, 2026). 인터넷에 노출된 서버 과반수가 패치 사각지대에 놓여 있는 셈이다.

공식 지원이 끝난 버전을 사용하는 기업은 최신 지원 버전으로 서버 환경을 신속히 마이그레이션하거나, 전문 벤더의 유상 보안 지원 여부를 점검해야 한다. 보안 패치가 공식 배포되었더라도 개별 서버 관리자가 이를 적용하고 점검을 완료하기 전까지는 원격 코드 실행 공격 위험에서 벗어날 수 없다.

자주 묻는 질문

유럽 정부 사이트들의 접속 차단은 실제 해킹 침해 때문인가요?

대다수 기관은 해킹이나 데이터 유출 피해를 입은 것이 아니며, 패치 적용 전까지 서버를 보호하기 위해 예방 차원에서 접속을 중단했습니다.

워드프레스 같은 CMS의 관리자 페이지 업데이트로 조치가 가능한가요?

CMS 업데이트만으로는 해결되지 않으며, 서버 운영체제 단에 설치된 PHP 엔진 자체를 공식 최신 버전으로 직접 업그레이드해야 합니다.

이번 결함 탐지에 AI는 어떤 역할을 했나요?

캘리프와 위즈 등 보안업체가 GPT-5.6 솔 및 제미나이 4 아르곤을 투입해 10년 넘게 방치된 복잡한 공격 경로를 단기간에 규명했습니다.