유럽이 PHP 사이트를 멈춘 이유와 한국 서버 11만곳
AI가 찾아낸 PHP 치명적 취약점에 네덜란드·핀란드 등 일부 유럽 정부기관은 패치보다 먼저 웹사이트 운영을 멈췄다. 보안 업데이트가 끝나기 전까지 서버를 외부에 열어두는 것 자체가 위험하다고 판단한 선제 조치다. 한국은 취약 버전으로 추정되는 서버가 약 11만 곳에 이른다는 집계가 나와, 운영자라면 PHP 버전부터 확인해야 한다.
유럽은 왜 패치보다 먼저 사이트를 껐나
네덜란드와 핀란드 등 일부 유럽 국가의 정부기관은 이번 PHP 취약점 사태에서 웹사이트 운영 자체를 예방 차원에서 멈췄다. 보안 업데이트가 나왔는데도 접속을 받는 대신 서버를 내린 것은, 패치를 적용하는 그 짧은 시간조차 공격에 노출되는 것을 피하겠다는 판단이다.
이 선택은 과하다기보다 취약점 등급에서 나온다. 이번 결함은 국제 보안 취약점 평가 체계(CVSS) 4.0 기준 10점 만점에 9.2점으로, 가장 높은 '치명적' 등급으로 매겨졌다. 공격자가 서버를 원격에서 장악할 수 있는 수준이면, 업데이트를 거는 동안 열려 있는 창구 하나도 위험하다.
하루 사이에 벌어진 일의 순서
Photo by Mediamodifier on Unsplash
사건은 짧은 시차를 두고 이어졌다. 현지시간 10월 21일 PHP 개발팀이 치명적 취약점 두 건을 수정한 새 버전을 긴급 공개했다. 권고 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상이다.
패치가 나오자 유럽연합과 영국, 네덜란드, 독일 등은 위험 수준을 높게 평가했고, 네덜란드·핀란드 등은 아예 운영을 중단했다. 유럽과 일본, 호주의 사이버 보안 당국은 긴급 업데이트를 권고했다. 미국 사이버 당국도 소셜미디어 X를 통해 PHP를 쓰는 모든 기관과 기업에 즉시 업데이트하고, 그럴 수 없으면 취약점이 해결될 때까지 시스템을 오프라인으로 돌리라고 공지했다.
한국은 하루 뒤인 10월 22일 정오, 과학기술정보통신부와 한국인터넷진흥원(KISA)이 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 올렸다. 대통령실 국가안보실도 공공·민간·국방 분야의 PHP 사용 현황 점검에 들어갔다. 발표일과 실제 패치 공개일(21일)은 하루 차이지만, 대응의 무게는 비슷하게 다뤄졌다.
이번 취약점을 찾은 건 사람이 아니었다
주목할 지점은 발견 경위다. 이번 결함은 보안업체 캘리프(Calif)가 오픈AI의 모델 'GPT-5.6 솔(Sol)'을 활용해 찾아냈다. 과거에도 잠재적 문제로 거론됐지만, AI가 방대한 코드를 훑으면서 심각성이 구체적으로 드러난 사례다.
이는 유럽 기관들이 서둘러 사이트를 내린 또 다른 배경이기도 하다. AI가 취약점을 빠르게 찾아내는 환경에서는, 공격자 쪽도 같은 도구로 공격까지 이르는 시간이 짧아진다. 방어하는 입장에서는 "패치가 나왔으니 차차 적용하면 된다"는 여유가 줄어든 셈이다.
한국 서버 11만 곳이라는 숫자의 뜻
국내 영향 규모로는 약 11만이라는 수치가 돌았다. 안랩이 인터넷에 공개된 서버 정보를 분석해, 취약한 PHP 버전을 쓰는 것으로 추정되는 국내 서버가 약 11만 건으로 집계됐다는 것이다.
다만 이 숫자는 실제로 침해가 확인된 서버가 아니라 '취약 버전으로 추정되는' 서버의 수다. 외부에서 버전 정보를 읽어 추린 집계이므로, 이미 패치했는데도 버전 표기가 남아 잡힌 경우도, 반대로 안쪽에 숨어 집계에서 빠진 경우도 있을 수 있다. 규모 감각을 잡는 데는 쓸 수 있지만, 11만이 곧 11만 건의 피해를 뜻하지는 않는다.
운영자와 기업이 지금 확인할 것
행동 기준은 비교적 단순하다. 서버를 직접 운영하든 호스팅을 쓰든, 순서대로 짚으면 된다.
- 운영 중인 사이트의 PHP 버전을 확인하고 권고 버전(8.5.12·8.4.27·8.3.36·8.2.35) 이상으로 올린다.
- 호스팅 업체를 쓴다면 보안 업데이트가 적용됐는지 업체에 직접 확인한다.
- 바로 업데이트하기 어려운 시스템은 유럽 기관처럼 인터넷에서 분리하거나 일시 중단한다.
- 패치 뒤에는 인증키와 세션을 교체하고, 웹셸이 설치되지는 않았는지 점검한다.
- 오래 방치한 홈페이지, 외주로 만든 쇼핑몰, 장비 관리 화면처럼 잊고 있던 자산도 점검 대상에 넣는다.
업데이트가 끝나기 전이라면, '일단 꺼두는' 유럽식 판단이 개인 운영자에게도 가장 안전한 선택일 수 있다. 사이트가 잠시 멈추는 손해보다, 장악당한 서버를 되돌리는 비용이 훨씬 크기 때문이다.