AI가 발견한 10년 이상 묵은 결함…수정 패치 21일 공개, 즉시 적용 권고
다카이치 사나에 일본 총리가 21일 밤 자신의 엑스(X) 계정을 통해 PHP 프로그래밍 언어의 치명적인 보안 취약점에 대해 "매우 시급하다"며 신속한 대응을 촉구했다.
전 세계 웹사이트의 약 70%에 쓰이는 프로그래밍 언어 PHP에서 중대한 보안 취약점이 발견되면서 일본 정부와 기업들이 홈페이지와 일부 서비스를 잇달아 중단하는 등 비상이 걸렸다.
다카이치 총리는 "자신의 웹사이트가 PHP를 사용하는지 확인하고 수정 패치 적용을 준비하라"며 "신속히 패치 적용이 어렵다면 위험을 줄이기 위한 효과적 조치로 웹사이트를 일시적으로 중단하는 방법이 있다"고 말했다.
한국인터넷진흥원(KISA)도 21일 이번 취약점에 보안 업데이트를 권고했다. KISA에 따르면 이번에 확인된 취약점은 부적절한 예외 상황 처리(CVE-2026-109618)와 이미 해제된 메모리를 다시 참조하는 '해제 후 사용'(CVE-2026-109619) 등 2건이다.
두 취약점은 각각 국제 취약점 평가 기준(CVSS v4.0)에서 10점 만점에 9.2점을 받았다. 이 취약점들은 'PHP2셸'로 명명됐으며, 별도 인증 없이 원격으로 악성 코드를 실행할 수 있어 웹 요청을 처리하는 모든 PHP 설치 환경에 영향을 준다.
지난 10년간 배포된 모든 PHP 버전이 이번 취약점 가운데 최소 하나에 영향을 받으며, PHP 5.4 버전까지 거슬러 올라간다. 취약점 발견에는 AI가 핵심적인 역할을 했다. 사이버보안업체 캘리프는 오픈AI의 'GPT-5.6 솔'을 활용해 취약점을 찾아냈고, 구글 계열 사이버보안업체 위즈도 독자적으로 취약점 2건을 발견해 신고했다.
위즈 공동창업자 아미 루트와크는 "AI가 발견한 보안 취약점 가운데 역대 가장 심각하다"며 "AI가 없었다면 발견하기에 지나치게 복잡했을 것"이라고 평가했다.
일본 재무성은 21일 홈페이지에 PHP 취약점 대응을 위한 긴급 점검과 수정 프로그램 적용을 공지했다. 이에 따라 PHP로 작동하는 웹 콘텐츠를 포함해 홈페이지 일부 콘텐츠와 서비스를 일시 중단했다. 재무성은 이번 취약점이 외부에서 악성 코드를 실행해 데이터를 빼내거나 웹사이트를 변조하고 시스템을 장악하는 데 악용될 위험이 있다고 설명했다.
일본 시즈오카은행은 인터넷뱅킹을 일시 중단한다고 발표했고, 시치주시키은행도 예방 차원에서 일부 서비스를 멈췄다. 미즈호은행도 지점 방문 예약 서비스를 일시 중단했으며, 라쿠텐 그룹은 인터넷 쇼핑몰 '라쿠텐시장'의 메인 화면 일부 페이지에서 긴급 점검을 실시했다.
네덜란드와 핀란드 등 일부 유럽 국가 정부기관도 예방 차원에서 웹사이트 운영을 중단했으며, 유럽과 일본, 호주 등의 사이버보안 당국도 긴급 업데이트를 권고했다.
클라우드플레어는 이번 취약점을 겨냥한 공격 트래픽이 포착됐으며, 자사 보호 체계를 우회하려는 시도도 확인됐다고 밝혔다. 일본 독립행정법인 정보처리추진기구는 "현재 시점에서 이번 취약성을 악용한 공격을 확인하지는 않았으나, 이후 악용될 우려가 있으므로 신속한 대응을 요청한다"고 밝혔다.
영향을 받는 버전은 PHP 8.2·8.3·8.4·8.5 등 4개 버전이며, 각각 8.2.35·8.3.36·8.4.27·8.5.12 미만 버전을 사용하는 경우 취약점에 노출된다. KISA는 해당 버전 이상으로 즉시 업데이트할 것을 권고했다. PHP 8.1 이하 버전은 이미 공식 보안 지원이 종료된 만큼 지원 중인 버전으로 업그레이드해야 한다.
