데일리 TOP10
10위
AI가 찾아낸 치명적 보안 결함…전 세계 PHP 서버 권한 탈취 '비상'
뉴스보이
2026.10.23. 09:28
뉴스보이
2026.10.23. 09:28
해외의 선제적 오프라인 전환과 국내 11만 대 노출에 따른 범부처 대책 추진
1
웹 언어 PHP에서 로그인 없이 원격으로 서버 권한을 탈취하는 고위험 보안 취약점이 인공지능에 의해 발견됨.
2
미국과 일본 등 주요국은 시스템을 오프라인으로 전환하고 대국민 웹사이트를 일시 폐쇄하는 등 즉각 조치에 나섬.
3
과학기술정보통신부는 22일 사이버위기 경보를 '주의'로 올렸으나 단순 패치 권고에 그쳐 늑장 대응 논란이 제기됨.
4
국내 취약 호스트는 약 11만 건으로 세계 6위 수준이며, 인터넷 연결 서버의 82%가 구버전이라 단순 패치가 어려움.
5
정부는 사이버 보안 컨트롤타워 체계를 정비하고 범부처 차원의 종합대책과 조직 개편을 검토하겠다고 밝힘.
웹 취약점 비상 대응을 가로막는 법과 기술의 장벽
로그인 없는 서버 탈취 결함은 어떻게 분 단위 위협이 되었나
왜 해외와 달리 민간 웹 서버를 즉시 차단하지 못했나
국내 취약 서버의 82%는 왜 즉각 패치를 적용할 수 없나
컨트롤타워 체계 정비와 종합대책은 어떤 과제를 안고 있나
로그인 없는 서버 탈취 결함은 어떻게 분 단위 위협이 되었나
•
이번 사태는 인공지능이 찾아낸 결함이 별도 로그인 없이 서버 전체 권한을 뺏는 구조였기 때문입니다. 여기에 해커들까지 인공지능을 활용해 공격 방식을 빠르게 퍼뜨리면서 위협이 번지는 속도가 분 단위로 줄어들었습니다.
•
전 세계 웹사이트 다수가 사용하는 프로그램 언어인 피에이치피(PHP)에서 두 건의 심각한 원격 명령 실행 취약점이 드러났습니다. 미국 보안기업이 최신 인공지능 모델을 이용해 결함을 찾아냈으며 취약점 공개 45분 만에 수만 건, 2시간 뒤에는 수십만 건의 공격 시도가 전 세계에서 이어졌습니다.
•
보안 패치 이미지가 예정보다 일찍 외부에 유출되면서 해커들에게 공격 준비 시간을 벌어주기도 했습니다. 피에이치피 관리 재단 역시 과거에 결함 징후를 발견하고도 2년 동안 수정을 미뤘던 구조적 한계를 인정했습니다.
왜 해외와 달리 민간 웹 서버를 즉시 차단하지 못했나
•
정부가 해외처럼 민간 웹 서버를 강제로 차단하지 못한 이유는 현행 법령상 잠재적 위험만으로 민간 서버를 강제 격리할 권한이 없기 때문입니다. 미국과 일본 등은 시스템을 오프라인으로 돌리거나 대국민 서비스를 잠시 닫았지만, 우리 정부는 민간에 보안 패치를 권고하는 수준에 머물렀습니다.
•
국가 사이버위기 경보의 주의 단계는 비상대응체계를 가동하고 모니터링을 강화하는 규정 중심으로 이뤄져 있습니다. 정보통신망법에 따르면 사전 동의 없이 민간 서버를 임의로 점검하는 행위는 법 위반 소지가 있고, 강제 접속 차단은 실제 해킹 사고가 입증되어야만 가능합니다.
국내 취약 서버의 82%는 왜 즉각 패치를 적용할 수 없나
•
보안 패치가 나왔는데도 국내 서버가 곧바로 적용하지 못하는 이유는 이미 지원이 끝난 구버전이 대부분이기 때문입니다. 지원이 끝난 구버전에는 수정 파일이 아예 제공되지 않아 프로그램 엔진 전체를 새것으로 바꿔야 합니다.
•
국내에서 취약한 버전을 쓰는 서버는 약 11만 건으로 세계 6위 수준에 이릅니다. 버전이 확인된 국내 인터넷 연결 서버 가운데 약 82%는 이미 공식 기술 지원이 만료된 8.1 이하 구버전으로 파악되었습니다.
•
최신 버전으로 엔진을 바꾸면 내부 문법 체계가 크게 달라져 기존 웹사이트 화면이 하얗게 멈추는 오류가 발생합니다. 소상공인과 중소기업은 이를 고칠 전담 인력과 비용이 부족해 웹사이트를 새로 만드는 수준의 부담을 겪고 있습니다.
컨트롤타워 체계 정비와 종합대책은 어떤 과제를 안고 있나
•
정부가 추진하는 종합대책의 핵심은 민간과 공공과 군으로 쪼개진 방어망을 유기적으로 묶고 현장 집행력을 높이는 일입니다. 배경훈 부총리 겸 과학기술정보통신부 장관은 국회에서 안보실 중심 대응을 넘어 범부처 차원의 대책과 조직 개편을 검토하겠다고 밝혔습니다.
•
현재 사이버안보는 국가안보실의 총괄 아래 국가정보원과 과기정통부 및 국방부로 업무가 분리되어 신속한 대응에 한계가 있었습니다. 향후 컨트롤타워를 법제화하는 과정에서는 강력한 지휘권을 마련하면서도 민간에 대한 과도한 정보 수집 우려를 어떻게 해소할지가 중요한 쟁점입니다.
로그인 없는 서버 탈취 결함은 어떻게 분 단위 위협이 되었나
•
이번 사태는 인공지능이 찾아낸 결함이 별도 로그인 없이 서버 전체 권한을 뺏는 구조였기 때문입니다. 여기에 해커들까지 인공지능을 활용해 공격 방식을 빠르게 퍼뜨리면서 위협이 번지는 속도가 분 단위로 줄어들었습니다.
•
전 세계 웹사이트 다수가 사용하는 프로그램 언어인 피에이치피(PHP)에서 두 건의 심각한 원격 명령 실행 취약점이 드러났습니다. 미국 보안기업이 최신 인공지능 모델을 이용해 결함을 찾아냈으며 취약점 공개 45분 만에 수만 건, 2시간 뒤에는 수십만 건의 공격 시도가 전 세계에서 이어졌습니다.
•
보안 패치 이미지가 예정보다 일찍 외부에 유출되면서 해커들에게 공격 준비 시간을 벌어주기도 했습니다. 피에이치피 관리 재단 역시 과거에 결함 징후를 발견하고도 2년 동안 수정을 미뤘던 구조적 한계를 인정했습니다.
왜 해외와 달리 민간 웹 서버를 즉시 차단하지 못했나
•
정부가 해외처럼 민간 웹 서버를 강제로 차단하지 못한 이유는 현행 법령상 잠재적 위험만으로 민간 서버를 강제 격리할 권한이 없기 때문입니다. 미국과 일본 등은 시스템을 오프라인으로 돌리거나 대국민 서비스를 잠시 닫았지만, 우리 정부는 민간에 보안 패치를 권고하는 수준에 머물렀습니다.
•
국가 사이버위기 경보의 주의 단계는 비상대응체계를 가동하고 모니터링을 강화하는 규정 중심으로 이뤄져 있습니다. 정보통신망법에 따르면 사전 동의 없이 민간 서버를 임의로 점검하는 행위는 법 위반 소지가 있고, 강제 접속 차단은 실제 해킹 사고가 입증되어야만 가능합니다.
국내 취약 서버의 82%는 왜 즉각 패치를 적용할 수 없나
•
보안 패치가 나왔는데도 국내 서버가 곧바로 적용하지 못하는 이유는 이미 지원이 끝난 구버전이 대부분이기 때문입니다. 지원이 끝난 구버전에는 수정 파일이 아예 제공되지 않아 프로그램 엔진 전체를 새것으로 바꿔야 합니다.
•
국내에서 취약한 버전을 쓰는 서버는 약 11만 건으로 세계 6위 수준에 이릅니다. 버전이 확인된 국내 인터넷 연결 서버 가운데 약 82%는 이미 공식 기술 지원이 만료된 8.1 이하 구버전으로 파악되었습니다.
•
최신 버전으로 엔진을 바꾸면 내부 문법 체계가 크게 달라져 기존 웹사이트 화면이 하얗게 멈추는 오류가 발생합니다. 소상공인과 중소기업은 이를 고칠 전담 인력과 비용이 부족해 웹사이트를 새로 만드는 수준의 부담을 겪고 있습니다.
컨트롤타워 체계 정비와 종합대책은 어떤 과제를 안고 있나
•
정부가 추진하는 종합대책의 핵심은 민간과 공공과 군으로 쪼개진 방어망을 유기적으로 묶고 현장 집행력을 높이는 일입니다. 배경훈 부총리 겸 과학기술정보통신부 장관은 국회에서 안보실 중심 대응을 넘어 범부처 차원의 대책과 조직 개편을 검토하겠다고 밝혔습니다.
•
현재 사이버안보는 국가안보실의 총괄 아래 국가정보원과 과기정통부 및 국방부로 업무가 분리되어 신속한 대응에 한계가 있었습니다. 향후 컨트롤타워를 법제화하는 과정에서는 강력한 지휘권을 마련하면서도 민간에 대한 과도한 정보 수집 우려를 어떻게 해소할지가 중요한 쟁점입니다.
#과학기술정보통신부
#PHP
#인공지능
#미국
#일본
이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다. AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
• 이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다.
• AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
