⏱️ 읽는 시간: 7분
10월 21일, 웹사이트 운영자들에게 비상이 걸렸습니다. 전 세계 웹사이트 상당수가 쓰는 PHP에서, 로그인 없이 외부에서 서버 코드를 실행할 수 있는 치명적 취약점 2건이 공개됐기 때문입니다. 이른바 ‘PHP2Shell’입니다. 호스팅 업체들은 긴급 패치 공지를 띄웠고, 일부 기관과 기업은 웹사이트 운영을 잠시 멈췄습니다. 그리고 공개 며칠 만에 실제 침해 사례가 나왔습니다.
PHP2Shell, 공개 직후 현실이 된 공격
PHP2Shell(CVE-2026-109618, CVE-2026-109619)은 PHP 엔진 자체의 결함으로, 두 취약점 모두 CVSS 9.2점(Critical)을 받았습니다. 웹 애플리케이션 코드와 관계없이 PHP 버전만으로 영향을 받기 때문에, 근본 해결은 서버의 PHP를 수정 버전으로 올리는 것입니다. 당장 업데이트가 어렵다면 KISA가 안내한 임시 완화 조치(WAF 규칙, 요청 크기 제한, 설정 변경 등)를 먼저 적용해야 합니다. 게다가 이번에는 보안 업데이트가 배포되기 전에 취약점 정보가 먼저 유출됐습니다.
공격은 곧바로 이어졌습니다. 이스라엘 보안업체 드림(Dream)은 10월 26일 보고서에서 이 취약점을 악용한 실제 공격을 공개했습니다. 공격자는 관리 화면이 인터넷에 노출된 방화벽 약 1만 9천 대를 찾아낸 뒤, 국가와 소프트웨어 버전으로 걸러 240대를 표적으로 추렸습니다. 그리고 방화벽 24대의 최고 관리자 권한을 장악했고, 내부 방화벽 관리 서버까지 합쳐 총 25대를 침해했습니다. 첫 침해는 패치 공개 이틀 뒤인 10월 23일이었고, 인증 정보 없이 들어와 지속적인 원격 접근 통로를 만드는 데 15분도 걸리지 않았습니다.
침해된 서버는 미국, 일본, 대만, 한국 4개국에 걸쳐 있었습니다. 다만 국내 피해 기관과 대수는 공개되지 않았고, 10월말 기준 국내 침해사고 신고는 없었습니다. 공격 환경에서는 AI 코딩 도구와 AI 모델이 연결된 공격 플랫폼도 발견됐습니다. 드림은 코드 구조에서 AI의 도움을 받아 개발한 흔적이 보인다고 하면서도, AI가 스스로 공격을 수행한 것은 아니라고 선을 그었습니다.
정부도 민간 주요 기반시설 170여 곳에 대한 점검에 착수했습니다. 남의 일이 아니라는 뜻입니다.
패치 주기보다 빠른 공격
PHP2Shell만의 이야기가 아닙니다. 취약점이 공개된 뒤 공격 코드가 나오기까지 걸리는 시간은 2018년 평균 840일에서 올해 20시간 미만으로 줄었다는 집계가 나왔습니다. 한 달에 한 번 패치하는 조직이라면 공개 뒤 2~4주는 비어 있는 셈입니다. 9~10월 국내에서는 금융사 연쇄 침해가 이어졌고, 생성형 AI를 붙인 한 해킹 일당은 AI 도입 전 1년 가까이 30곳 정도를 뚫다가 도입 뒤 40일 남짓 만에 60곳에 침투했습니다.
침입이 없어도 정보는 새어나갑니다. 10월 23일 국회 종합감사에서는, 의원실 점검 결과 과기정통부 산하 75개 기관 중 15곳이 홈페이지에 올린 PDF의 마스킹 부분이 생성형 AI로 복원됐다는 지적이 나왔습니다. 실제 유출 사고로 확인된 것은 아니지만, 가린 글자가 남는 오래된 실수가 AI로 수천 개 문서를 한꺼번에 훑을 수 있게 되면서 다시 문제가 된 것입니다. 공격은 머신 스피드로 들어오는데, 대응은 아직 휴먼 스피드인 곳이 많습니다.
[마크애니 무료 웨비나] AI 침투 위협 대응, 머신 스피드 vs 휴먼 스피드
우리 회사의 보안, 점검해보기✅
패치는 시간 싸움이고, 끝없이 두드리면 어딘가는 결국 뚫립니다. 속도에서 한 번 지더라도 데이터는 끝까지 지켜야 합니다. 11/20(금) 마크애니 웨비나에서 그 답을 찾아보세요.
📋 문의 및 신청하기
