AI가 찾은 PHP 결함,
우리 홈페이지는 고쳤을까요?

10월 22일 낮, 과기정통부와 KISA 가 사이버위기 경보를 '관심'에서 '주의'로 올렸습니다. 기관과 기업에 PHP 를 당장 업데이트하라는 당부와 함께요. 홈페이지나 예약 페이지가 PHP 로 돌아간다면 우리 회사 일이기도 합니다. 외주 운영사에 맡겨 두었다면 버전과 수정본 적용 여부를 물어보면 되고요. 그 구멍을 처음 찾은 게 보안업체가 쓴 AI 모델이었다는 것까지 알고 나면, 그 질문의 무게가 달라집니다.

손바닥만 한 코끼리

PHP 는 웹사이트 열에 일곱이 쓴다는 언어입니다. 마스코트는 손바닥에 올라가는 파란 코끼리 인형이고요. 이 작은 코끼리 옆구리에 머리카락 같은 금이 두 줄 있었습니다. 10년 넘게요.

결함은 오래전부터 코드에 그대로 있었습니다. 다만 그걸 실제 공격으로 잇는 길이 복잡했죠. 그 길을 끝까지 걸어 본 게 보안업체 캘리프의 GPT-5.6 솔, 위즈의 제미나이 4 아르곤과 GPT-5.6 솔이었습니다. 'PHP2Shell' 이라는 이름이 붙은 두 취약점은 심각도 10점 만점에 9.2점. 이 결함이 있는 서버에선 계정 없이도 명령을 내릴 수 있습니다.

네덜란드 정부 포털이 닫혔고, 로테르담 항만과 독일·핀란드·프랑스 정부 사이트가 잇달아 멈췄습니다. 뚫려서가 아니라 수정본을 올리는 동안 먼저 내린 것으로, 독일과 핀란드는 예방 조치라고 밝혔고, 보도 시점엔 확인된 피해가 없었습니다. 그리고 10월 22일, 우리 경보가 한 칸 올라갔습니다.

메우는 건 한 대씩

결함을 찾는 일과 서버마다 수정본을 적용하는 일은 속도가 다릅니다. 찾는 건 코드 한 벌에서 끝나지만, 적용은 서버 한 대씩이니까요.

센시스가 관측한 PHP 호스트 260만 개 가운데 150만 개는 지원이 끝나 수정본을 받기조차 어려운 옛 버전이었습니다. 수정본이 나와도 그걸 바로 올릴 수 있는 조건은 서버마다 달랐다는 뜻입니다.

관측된 PHP 호스트 260만 개 가운데 150만 개는 지원이 끝난 옛 버전이었습니다.

03운영사에 보낼 두 줄

PHP 가 뭔지 몰라도 운영사에 물어볼 수는 있습니다. 우선 두 가지입니다. 우리 서버 PHP 버전이 몇인가요. 이번 수정본은 적용했나요.

홈페이지를 외주 호스팅에 맡긴 기관이나 회사라면 이 두 줄이 운영사로 가야 합니다. '워드프레스 자동 업데이트 켜져 있습니다' 라는 답이 오면 한 번 더 보내세요. 그걸로는 안 되고 서버의 PHP 자체를 올려야 하니까요. 버전과 적용 여부, 둘 다 답을 받아야 끝입니다.

AI 가 결함을 찾았다는 소식은 이렇게 우리 업무의 질문이 됩니다. 교육 담당자라면 하나 더 생각해 볼 만합니다. 우리 직원들은 AI 소식을 들었을 때 그걸 우리 업무의 질문으로 바꿀 수 있을까요? 📚

소식을 질문으로

내년 사업계획과 교육계획을 준비하고 계신다면, AI 교육에 도구 사용법 옆에 AI 가 무엇을 할 수 있고 그 결과를 어떻게 받아들여야 하는지를 다루는 시간도 있는지 봐 주세요. 이번 같은 소식을 들은 직원이 "그럼 우리 서버는요?" 라고 물을 수 있게요. 👀