수요일 유럽（Europe）과 아시아（Asia）를 비롯한 여러 지역의 정부들이, 웹의 상당 부분을 구동하는 PHP에서 새로 공개된 보안 결함 두 건이 발견된 뒤 일부 웹사이트를 오프라인으로 전환했다. 이에 미국 국가안보국（National Security Agency, NSA）이 이례적으로 공개 경고를 발표했다.4,5
이 결함들은 ‘PHP2Shell’이라는 이름으로 불리며, 알자지라（Al Jazeera）에 따르면 인공지능 모델의 도움으로 발견됐다. 두 결함 모두 권한 없이 컴퓨터 메모리의 일부에 접근한 뒤, 그 접근 권한을 악용해 악성 코드를 실행하는 방식이다. 알자지라는 공격자가 인터넷을 통해 구버전 PHP 코드를 실행하는 서버에서 비밀번호나 정상 계정 없이 원격으로 명령을 실행할 수 있다고 보도했다. 언어를 지원하는 비영리단체 PHP 재단（The PHP Foundation）은 수요일 오후 최신 버전에 대한 수정 패치를 공개했다.4,5
NSA는 즉시 업데이트를 설치할 수 없는 기관에 시스템을 오프라인으로 전환할 것을 권고했다. NSA는 소셜미디어 게시물에서 “즉시 발효, PHP를 시스템에 사용하는 모든 기관은 치명적 취약점 두 건을 해결하는 업데이트에 대비할 것을 권고한다”고 밝혔다. 별도의 게시물에서는 BBC에 따르면 “이러한 취약점은 종종 서버의 파일 시스템이나 데이터베이스로 곧바로 통하는 경로를 제공한다”고 적었다.4,5
여러 유럽 정부가 신속하게 움직였다. 핀란드（Finland）는 정부의 공공 웹 서비스를 일시적으로 중단했고, 독일（Germany）의 연방 디지털전환·행정현대화부（Federal Ministry for Digital Transformation and Government Modernisation）는 예방 조치로 일부 웹사이트를 오프라인으로 전환했다고 밝혔다. 프랑스（France） 내무부（Ministry of the Interior）는 지방 행정기관의 공식 웹사이트를 비활성화했다. 벨기에（Belgium), 네덜란드（Netherlands), 체코（Czech Republic） 당국도 보안 패치를 적용하기 위해 사이트를 닫았다고 밝혔다. 네덜란드 국립공중보건환경연구소（National Institute for Public Health and the Environment）는 웹사이트를 내렸고, 네덜란드 하원（Tweede Kamer）의 웹사이트도 접속할 수 없게 되었다.4,5
피해는 정부를 넘어섰다. 위키백과（Wikipedia）를 운영하는 위키미디어 재단（Wikimedia Foundation）은 취약점을 해결하고 있다고 밝혔다. 재단은 “안전하게 패치될 때까지 예방 조치로 다수의 다른 시스템을 중단했다”고 말했으며, 수요일 일부 사용자는 위키백과의 일부 페이지에 접근하지 못했다. 에든버러 시의회（Edinburgh council）의 웹사이트도 접속할 수 없게 되었고, 닥터 후（Doctor Who）와 배신자들（The Traitors） 등 여러 BBC 프로그램의 온라인 페이지도 마찬가지였다. BBC는 두 기관 모두 PHP와의 연관성을 확인하지 않았으며, BBC가 논평을 요청했다고 보도했다. 아트 플랫폼 DeviantArt는 이유를 밝히지 않은 채 “유지보수를 위해 일시적으로 중단되었다”고 밝혔다.4
이 취약점들은 보안 기업 Calif와 Wiz의 연구진이 발견했다. Calif는 PHP 재단과 함께 OpenAI가 시작한 “Patch the Planet” 프로그램에 참여했으며, 이를 통해 웹 개발 언어의 결함을 찾아 수정하는 데 쓰이는 OpenAI의 고급 AI 도구에 접근할 수 있었다. 알자지라는 Calif가 OpenAI와 함께 8월 11일 첫 번째 결함을 신고했고, 알파벳（Alphabet）이 소유한 보안 기업 Wiz가 8월 24일 두 번째 결함을 신고했다고 보도했다. OpenAI는 블로그 게시물에서 이번 발견이 “최근 들어 가장 큰 영향을 미친 보안 문제 중 하나”라고 밝혔으며, BBC는 OpenAI의 내부 연구원도 다른 기업들과 비슷한 시기에 이 문제를 발견했다고 보도했다.4,5
Wiz는 이 결함들이 AI가 발견한 것 중 “가장 심각한 취약점”이라고 밝혔으며, 자사 블로그 게시물에서 AI 도구가 맡은 역할을 설명했다. 회사는 “프런티어 모델이 이 과정을 실용적으로 만드는 데 결정적이었으며, 여러 애플리케이션에 걸쳐 작동하는 익스플로잇을 몇 시간 만에 개발하고 조정할 수 있게 해 주었다”고 밝혔다. Wiz는 이번 발견이 “PHP에서 발견된 가장 심각한 취약점에 속하며, 소프트웨어 역사에서도 손꼽힌다고 해도 과언이 아니다”라고 말했다. BBC는 결함이 10년 넘게 발견되지 않았다고 보도한 반면, 알자지라는 근본적인 약점이 수십 년간 존재해 왔다고 보도했다.4,5
문제의 규모에 대한 추정치는 보도마다 달랐다. BBC는 Wiz가 인터넷의 “약 70%”가 영향을 받는다고 추정했다고 보도했으나, 이 수치는 검증할 수 없었다고 밝혔다. 알자지라는 PHP가 웹사이트의 70% 이상에서 사용된다고 묘사했다. 두 보도 모두 취약한 버전의 소프트웨어를 실행 중인 사이트 수에 대한 독립적인 집계 결과는 제시하지 않았다.4,5
BBC에 따르면 결함에 관한 세부 정보는 화요일 소셜미디어에서 유출되었고, 이로 인해 PHP 재단은 취약점과 그 규모를 서둘러 발표해야 했다. 재단은 완전한 수정 패치와 함께 이달 말 발견 사항을 공개할 계획이었다. 모든 버전이 영향을 받는 것으로 확인된 것은 아니다. 유럽연합（European Union）의 컴퓨터 긴급 대응팀인 CERT-EU는 2004년 출시된 PHP 5 이후의 모든 버전이 영향을 받을 수 있다고 밝혔다. PHP 재단은 최신 버전에만 업데이트를 배포했으며, PHP 8.1 이하를 사용하는 사람들은 업그레이드를 권고받았다.4
보안 연구자들은 위험을 더 넓은 관점에서 설명했다. 인터넷 인프라 기업 Cloudflare의 최고기술책임자 Dane Knecht는 “초기 공격이 나타나고 있으며, 새로운 공격 벡터가 나타남에 따라 완화 조치를 업데이트하고 있다”고 말했다. CERT-EU는 취약점에 부여된 위험 점수가 “인증되지 않은 원격 코드 실행의 가능성을 나타낸다”고 밝혔다. Sophos Counter Threat Unit의 Don Smith는 BBC에 PHP가 해커들의 “아마도 우선 공격 대상”이 될 것이라고 말하며, 당장의 과제는 PHP가 실행되는 모든 인스턴스를 찾아내는 것이라고 덧붙였다. 그는 “PHP는 널리 쓰이며, 공개 웹사이트, 콘텐츠 관리 시스템, 호스팅 플랫폼, 타사 제품 아래에 있을 수 있고, 이를 사용하는 조직이 전혀 눈치채지 못하는 경우도 있다”고 말했다.4
백악관（White House）은 연방 기관들이 수정 작업을 서두르기 위해 주요 AI 연구소들과 협력하고 있다고 밝혔다. 일본（Japan）의 다카이치 사나에（Sanae Takaichi） 총리는 국민들에게 공개 웹사이트가 PHP로 구동되는지 확인하라고 촉구했다. 영국（UK）의 국가사이버보안센터（National Cyber Security Centre）는 EU, 호주（Australia）의 대응 기관들과 함께 PHP 사용자들에게 수정 패치를 적용하라고 촉구했다. NCSC는 메모에서 “즉각적인 해결이 어려운 경우, 기관들은 완전히 완화될 때까지 시스템을 오프라인으로 전환하는 것을 고려해야 한다”고 밝혔다.4,5
PHP 재단은 AI 도구로 인해 이러한 약점을 찾기가 더 쉬워질 것이라고 밝혔으며, 기술 기업들에게 온라인 서비스의 대규모 중단을 피하기 위해 조율된 대응에 나설 것을 촉구했다. 재단은 성명에서 “이제 도구들은 방어자와 공격자 모두에게 전례 없이 빠르게 버그를 찾아내고 있으며, 보고 건수는 계속 늘어날 것”이라고 밝혔다.5
