프로그래밍 언어 PHP에서 발견된 치명적 보안 취약점을 악용한 공격 시도가 취약점 공식 공개보다 앞서 이미 관측됐다. 인공지능(AI)이 해킹의 기술적 진입장벽을 낮추는 시대에, 보안 인력과 대응 역량이 부족한 국내 중소기업과 영세 사업장이 사이버 공격의 가장 취약한 고리로 지목되고 있다.
연합뉴스 보도에 따르면 지난 21일 PHP에서 인증 절차 없이 원격으로 악성 코드를 실행할 수 있는 취약점 2건이 공개됐다. 'PHP2Shell'로 불리는 이 취약점은 심각도 평가 9.2점으로, 공격에 성공하면 웹서버 장악이나 정보 탈취로 이어질 수 있다.
패치 골든타임은 이미 끝났다
아마존 위협 인텔리전스는 취약점이 공식 공개되기 나흘 전인 17일부터 자체 허니팟 네트워크에서 관련 공격 시도를 포착했다. 공개 당일에도 발표 시각보다 12시간 앞서 공격 트래픽이 관측됐다.
이번 공격에 실제 AI가 활용됐는지는 공식 확인되지 않았다. 그럼에도 이 사태는 취약점 공개와 패치 배포 이후 대응하는 기존 방식만으로는 공격을 막기 어렵다는 점을 보여준다. 라이센스뉴스는 10년 넘게 코드 속에 숨어 있던 결함이 AI의 도움으로 실제 서버 장악이 가능한 치명적 취약점으로 드러났다고 분석했다.
매일경제는 PHP 유사 위험이 시작에 불과하며 보안 패러다임 재설계가 시급하다고 지적했다. 실제로 전자신문에 따르면 유럽과 일본 정부가 정부·공공사이트를 잠정 폐쇄했고, 한국 정부도 사이버위기 단계를 '주의'로 상향 발령했다.
국내 노출 서버 11만건, 세계 6위
안랩이 인터넷 자산 검색 서비스로 조사한 결과, 취약 버전의 PHP가 설치된 것으로 추정되는 국내 호스트는 약 11만건으로 전 세계 6번째로 많았다. 그러나 실제 취약 버전 사용 규모나 패치 적용 현황은 공개적으로 파악되지 않고 있다.
한국인터넷진흥원(KISA)은 PHP2Shell 관련 기업 보안 대응 수칙을 배포하고 신속한 업데이트와 침해 여부 점검을 당부했다. 문제는 수칙을 읽고도 조치할 수 없는 사업장이다. 영세 쇼핑몰, 학원, 병원 홈페이지는 외부 웹호스팅 업체를 통해 운영되는 경우가 많은데, 지원이 종료된 구버전 PHP를 쓰는 경우 고객이 직접 버전을 변경하고 호환성을 점검해야 한다.
랜섬웨어 피해의 88%가 중소·중견기업
국내 중소기업의 취약한 보안 현실은 통계로 이미 드러나 있다. KISA에 따르면 올해 상반기 국내 랜섬웨어 피해 신고 145건 중 중소기업이 92건, 중견기업이 36건으로 전체의 88.3%를 차지했다. 중소기업의 피해 신고는 전년 동기보다 70.4% 늘었다.
침해 인식조차 느리다. SK쉴더스가 2021~2025년 침해사고 대응 사례를 분석한 결과, 중소·중견기업은 최초 침투부터 침해 사실 인지와 조사 착수까지 평균 106.1일이 걸렸고, 90일을 초과한 사례도 32.6%에 달했다.
보안 인력 격차도 뚜렷하다. 과학기술정보통신부의 '2025 정보보호 실태조사'에 따르면 종사자 10~249명 기업의 평균 정보보호 담당 인력은 1.3명으로, 250명 이상 기업의 4.4명에 크게 못 미쳤다.
SK쉴더스 분석에서 중소·중견기업 침해사고의 최초 침투 경로 중 애플리케이션 취약점이 20.8%, 파일 업로드 취약점이 18.9%를 차지했다. 웹서비스 취약점이 실제 침해사고의 주요 진입로로 악용된다는 점에서 이번 PHP2Shell 사태와 직결된다.
가장 약한 고리를 어떻게 끌어올릴 것인가
웹서버·클라우드 보안 기업 유엠브이기술의 방윤성 대표는 초기 방어선을 뚫고 들어온 잠재 위협을 내부에서 얼마나 신속·정확하게 잡아내느냐가 보안의 성패를 가른다고 강조했다. 방 대표는 코드의 맥락을 읽어내는 AI 분석 역량과 보안 자동화 체계가 필수적이라며, 실시간 위협 탐지, 신속한 격리, 무결성이 검증된 파일 복구가 유기적으로 맞물려야 한다고 말했다.
박찬암 스틸리언 대표는 AI 해킹이 늘수록 가장 위험한 곳은 중소기업과 소상공인이라고 지적했다. 박 대표는 국가 안보 관점에서도 가장 약한 고리가 될 수 있는 만큼 이 최저 보안 수준을 보통 수준까지 끌어올리는 방안을 고민해야 한다고 강조했다.
박 대표는 제로데이 취약점을 활용한 공격이 자연재해와 유사한 수준이라며, 이미 공격당했다고 가정했을 때 어떻게 빠르게 대응하고 복구할 것인지 고민하는 피해 최소화 체계가 필요하다고 덧붙였다.
정부는 중소기업 대상 정보보호 컨설팅과 보안 솔루션 도입을 지원하고 있다. 그러나 단순한 취약점 진단이나 보안 공지를 넘어 실제 조치까지 연결하는 실질적 지원이 아니면, AI 기반 공격 확산 속도를 따라잡기 어렵다는 지적이 나온다.
자주 묻는 질문
PHP2Shell 취약점은 무엇인가?
PHP에서 인증 절차 없이 원격으로 악성 코드를 실행할 수 있게 하는 취약점 2건을 가리킨다. 21일 공개됐으며 심각도는 9.2점으로 평가됐다.
왜 중소기업이 특히 위험한가?
보안 전담 인력이 평균 1.3명에 불과하고, 침해 인지까지 평균 106.1일이 걸리는 등 대응 역량이 크게 떨어지기 때문이다. 올해 상반기 랜섬웨어 피해의 88.3%가 중소·중견기업에서 발생했다.
영세 사업장은 무엇을 확인해야 하나?
KISA가 배포한 PHP2Shell 대응 수칙에 따라 보안 업데이트를 적용하고 침해 여부를 점검해야 한다. 웹호스팅 업체를 쓴다면 구버전 PHP 사용 여부를 확인하고 필요시 직접 버전을 변경해야 한다.