AI 활용해 PHP 치명적 취약점 발견
전 세계 사이트 최대 70% 영향 우려
패치 공개 전 정보 유출에 해킹 경계령
전 세계 사이트 최대 70% 영향 우려
패치 공개 전 정보 유출에 해킹 경계령
|
인공지능(AI)이 취약점 발견에 핵심적인 역할을 했지만 보안 패치 공개를 앞두고 관련 정보까지 사전 유출되면서 해킹 공격에 AI가 활용될 수 있는 우려가 확산하고 있다.
PHP 개발사들은 21일(현지시간) 해커가 로그인이나 인증 없이 특정 소프트웨어 시스템을 장악해 정보를 탈취하거나 해킹된 웹사이트의 방문자에게 사이버 공격을 감행할 수 있는 보안 취약점을 수정하는 새로운 패치를 업데이트했다고 월스트리트저널(WSJ)이 보도했다.
이날 PHP가 컴퓨터 메모리를 관리하는 방식에서 발견된 일련의 문제점인 'PHP2셸(Shell)'이 알려지면서 유럽을 비롯한 다수 국가들의 정부 웹사이트가 접속을 차단했고 전 세계 웹사이트 운영자들은 시스템을 보호하기 위해 대응 마련에 착수했다.
이번 문제를 발견하는 데는 인공지능(AI)이 핵심적인 역할을 했다. 사이버 보안 회사 캘리프 소속 라이언 오스틴 연구원은 지난 8월 11일 오픈AI의 'GPT-5.6 Sol'을 이용해 PHP 소스코드를 점검하다 취약점을 발견해 개발진에 신고했다. 같은 달 24일에는 구글 산하 사이버 보안 기업 위즈도 문제점을 확인해 이를 알렸다.
해커가 취약점을 악용해 패치가 적용되지 않은 웹 서버에서 승인되지 않은 소프트웨어를 빠르게는 수초 만에 실행할 수 있는 가능성이 확인됐다.
패치 작업은 대규모로 진행된 것으로 전해졌다. 로이터 통신에 따르면 PHP 개발진은 약 200개에 달하는 파일을 수정했고 해당 작업 과정에서 1만줄이 넘는 코드를 작성했다.
긴급 보안 패치는 당초 이달 22일 공개할 예정이었지만 관련 소식이 20일 IT 전문 온라인 커뮤니티인 해커뉴스를 통해 유출되면서 배포 일정을 하루 앞당기게 됐다. 일부 해커들은 배포 전부터 취약점을 악용한 공격을 시도한 것으로 전해졌다.
정부 기관들과 웹사이트 운영자들은 21일 사이버 공격 시도에 관한 보고가 잇따라 나오기 시작하자 선제적으로 사이트를 오프라인 상태로 전환했다고 밝혔다.
미국 국가안보국(NSA)은 이날 성명을 통해 "이런 취약점은 서버의 파일 시스템이나 데이터베이스에 직접 접근할 수 있는 경로를 제공하는 경우가 많다"며 "즉각적인 업데이트가 불가능하면 조직은 시스템을 오프라인으로 전환해 취약점을 완화해야 한다"고 안내했다.
유럽연합(EU) 집행위원회, EU 사이버보안청(ENISA), 유로폴 등도 공동 성명을 내고 각국 기관 및 기업에 긴급 보안 조치를 권고했다.
전문가들은 AI를 이용해 보안 취약점을 찾을 수 있는 동시에 이를 악용한 해킹 공격까지 빠르게 확산될 수 있다고 우려했다.
특히 보안 패치가 공개되면 해커가 이를 분석해 또 다른 취약점을 파악하고 공격 도구를 개발할 가능성이 있기 때문에 패치 적용이 늦어질수록 피해가 확산할 위험이 크다는 지적이다.
이 문제를 처음 발견한 캘리프의 타이 두옹 최고경영자(CEO)는 "트위터를 이용하는 누군가가 패치를 가져다가 AI로 분석한 뒤 공격용 악성 스크립트를 게시할 수도 있다"며 "그러면 모든 것이 걷잡을 수 없이 무너질 것"이라고 경고했다.
PHP 프로젝트를 관리하는 비영리 재단의 볼커 두시 보안 엔지니어는 이 문제에 관해 "PHP가 10년 만에 직면한 가장 심각한 보안 문제"라고 지적했다.
위즈의 아미 루트왁 공동창업자는 "PHP2셸은 AI로 발견한 취약점 중 가장 심각한 문제"라며 "AI 없이는 발견하기 어려울 정도로 복잡하다"고 말했다.
PHP는 원래 '개인 홈페이지 도구(Personal Home Page)'의 약자로 명명됐으나 기능이 확대되면서 서버 스크립트 언어인 'PHP : 하이퍼텍스트 프로페서(Hypertext Preprocessor)'라는 의미로 불리게 됐다.
