"전 세계 웹 75% 마비 위기"… PHP 제로데이 결함에 유럽 정부 전산망 '셧다운'

전 세계 웹사이트의 약 75%를 지탱하는 핵심 오픈소스 웹 프로그래밍 언어 'PHP'에서 지난 10년 이상 은폐되어 있던 치명적인 제로데이 보안 취약점이 발견되면서 글로벌 인터넷 생태계가 초유의 셧다운 사태를 맞았다.
인공지능(AI) 도구를 동원한 해커들의 무차별적인 자동 역설계와 공격 코드 배포가 초읽기에 들어가자, 네덜란드와 프랑스, 핀란드 등 유럽 주요국 정부 기관은 물론 글로벌 주요 웹 서비스들이 시스템 방어를 위해 일제히 공식 웹사이트를 오프라인으로 내리는 등 비상 대응에 돌입했다.

10월 22일(현지시각) 로이터(Reuters) 통신 보도에 따르면, PHP 오픈소스 개발팀은 21일 코드베이스 깊숙한 곳에 수년간 숨겨져 있던 시스템 장악 취약점에 대한 긴급 보안 패치를 공식 배포하고 전 세계 모든 서버 관리자에게 "즉각적인 최신 버전 업데이트"를 강력히 촉구했다.


이번 취약점의 파괴력은 발견 방식과 대상 범위 모두에서 전례를 찾기 어렵다.
사이버보안 전문 기업 위즈(Wiz)와 캘리프(Calif)에 따르면, 해당 결함은 구글의 제미나이 4 아르곤(Gemini 4 Argon), 오픈AI의 GPT-5.6 솔(Sol), 그리고 자율 AI 보안 도구인 '위즈 아틀라스(Wiz Atlas)' 등 최첨단 대형언어모델(LLM)과 AI 연구 도구의 심층 코드 탐색을 통해 수면 위로 드러났다.

위즈 측은 기술 블로그를 통해 "해당 취약점은 10년 넘게 PHP 코드베이스에 방치돼 있었으며, 연계 구조가 너무 복잡해 인간 보안 연구원이나 해커가 수작업으로 찾아내 악용하기는 사실상 불가능에 가까웠다"며 "그러나 고도화된 AI가 투입되면서 이러한 복잡성의 장벽이 완전히 무너졌다"고 설명했다. 백악관 역시 지난주 금요일 이번 결함에 대해 사전 보고를 받고 대책 마련에 착수한 것으로 확인됐다.


PHP는 1990년대 초 '개인 홈페이지(Personal Home Page)' 제작 도구로 출발했으나, 현재는 워드프레스(WordPress), 드루팔(Drupal), 줌라(Joomla), 마젠토(Magento) 등 글로벌 콘텐츠관리시스템(CMS)과 전자상거래 플랫폼의 절대 다수를 구동하는 인터넷의 기초 인프라다.
드루팔 협회의 티파니 패리스 임시 최고경영자(CEO)는 "지난 20년간 출시된 사실상 모든 PHP 버전을 구동하는 웹 서버가 이번 공격에 무방비로 노출될 수 있다"며 "인터넷의 거의 전 영역이 직접적인 영향권에 들었다"고 경고했다.

실제로 글로벌 인터넷 자산 분석기관인 센시스(Censys)의 집계 결과, 전 세계 분석 대상 웹 서버 260만 대 가운데 약 150만 대가 아직 수정 패치를 적용하지 못한 채 취약한 상태로 방치되어 있는 것으로 파악됐다.


보안 패치 공개와 동시에 해커들이 패치 코드를 역설계해 공격용 익스플로잇을 대량 생성하는 'AI 악용 경쟁'이 본격화되자, 전 세계 사이버안보 기관들은 패치 완료 전까지 사이트를 선제적으로 폐쇄하라는 긴급 지침을 발령했다.

이 여파로 유럽 전역의 정부 및 공공 인프라가 일제히 멈춰 섰다.
네덜란드는 국가사이버보안센터(NCSC) 자체가 예방 차원에서 사이트를 차단한 데 이어 정부 공식 포털(Overheid.nl), 로테르담 항만청, 왕립축구협회(KNVB), 주요 5대 정당과 대형 병원 웹사이트가 접속을 중단했다.

프랑스는 내무부가 관리하는 모든 대민 행정 웹사이트를 예방적 유지보수 모드로 전환하고 전면 차단했다.

핀란드 국영 IT 기관 발토리(Valtori)가 정부 공공 네트워크를 일시 오프라인 조치했으며, 덴마크 지자체 IT 기업 콤빗(Kombit)은 전국 학교 학사 소통 플랫폼을 폐쇄했다.

온라인 백과사전 위키피디아(Wikipedia)와 디지털 도서관 인터넷 아카이브(Internet Archive) 역시 안전 확보를 위해 일부 서버 시스템을 일시 중단했다.

국가 정상들도 비상 대응에 나섰다. 네덜란드 총리가 상황을 면밀히 주시하고 있다고 밝힌 가운데, 일본 다카이치 사나에 총리는 X(옛 트위터)를 통해 "국내 모든 웹사이트 운영자는 현재 운영 중인 시스템의 PHP 사용 여부를 즉시 전수 확인하고 긴급 패치 적용에 만전을 기해달라"고 긴급 당부했다.


더 심각한 문제는 공식 발표 이전부터 이미 공격 징후가 포착됐다는 점이다.

아마존의 CJ 모세스 최고정보보안책임자(CISO)는 공식 블로그를 통해 "보안 패치가 공식 발표되기 4일 전인 10월 17일, 자사의 미끼 침투 탐지망인 '허니팟' 시스템에서 해당 취약점을 노린 정교한 악용 시도가 사전에 감지됐다"고 폭로했다. 정보가 통제된 사전 금수(Embargo) 기간 동안 공격자가 어떤 경로로 결함을 인지했는지는 확인되지 않았다.

아마존 측은 21일 공식 발표 직후 금수 조치가 해제되면서 다양한 공격 주체들의 침투 시도가 급증했으며, "현재 실제 야생(In the wild) 환경에서 무차별적인 악용이 광범위하게 벌어지고 있다"고 경고했다.

워드프레스닷컴(WordPress.com)이나 텀블러(Tumblr) 등 중앙 집중형 클라우드 호스팅 서비스는 자체 보안 방어막을 구축해 안전하다고 밝혔으나, 전담 보안 인력이 없는 중소기업, 영세 소상공인, 자체 서버를 관리하지 못하는 공유 호스팅 이용자들은 사실상 무방비 상태로 해킹 위험에 노출된 상태다.

글로벌 보안 분석가들은 "이번 사태는 AI가 취약점 방어뿐만 아니라 공격용 무기 제작에도 대량으로 악용될 수 있음을 증명한 상징적인 보안 재앙"이라며 "전 세계 수백만 대의 서버가 패치를 마칠 때까지 정부와 민간을 가리지 않는 대규모 데이터 유출과 랜섬웨어 감염 피해가 잇따를 것"이라고 강력히 경고했다.


신경원 글로벌이코노믹 기자 shincm@g-enews.com