Killbook / 정규열 / QL

[초비상 사태] 지금 전 세계 웹사이트들이 역대급 해킹 위험에 빠져 있음. 어제부터 전 세계 서버 관리자와 보안 업계에 초비상이 걸렸는데, 인터넷 웹사이트 대다수를 굴리는 핵심 언어인 'PHP'에서 무려 22년 동안 숨어 있던 치명적인 보안 구멍 2개가 동시에 터졌기 때문임. 1. 왜 전 세계가 발칵 뒤집혔나? — "우리가 매일 쓰는 웹사이트 10곳 중 7곳이 PHP다" - 개발자가 아니면 'PHP'라는 이름이 낯설 수 있지만, 사실상 지금의 인터넷 세상은 PHP 위에 지어졌다고 해도 과언이 아님. - 웹 기술 조사기관(W3Techs) 통계를 보면, 서버 언어가 확인된 전 세계 웹사이트의 약 70%가 이 PHP로 돌아가고 있음. - 글로벌로 보면 전 세계 전체 웹사이트의 40% 이상을 차지하는 '워드프레스(WordPress)'부터 위키피디아(Wikipedia), 글로벌 쇼핑몰 엔진인 우커머스·마젠토, 전 세계 대학들이 쓰는 온라인 강의 시스템(무들), 그리고 요즘 스타트업들이 가장 많이 쓰는 최신 프레임워크 '라라벨(Laravel)'까지 전부 PHP 기반임. - 한국은 체감이 더 심함. 국내 수많은 인터넷 쇼핑몰(카페24·고도몰 등 독립몰 기반), 대형 온라인 커뮤니티들의 뿌리인 그누보드·XE(라이믹스), 그리고 우리가 흔히 들어가는 병원·대학교·중소기업 홈페이지와 인터넷 언론사의 대다수가 바로 이 PHP로 만들어져 있음. 2. "우린 최신 라라벨(Laravel) 쓰니까 안전하겠지?" — 이번엔 다 같이 뚫린다 - 평소 같으면 오래된 워드프레스 플러그인 같은 데서만 구멍이 뚫리니까, 최신 프레임워크인 '라라벨'을 쓰는 개발자들은 "우리랑은 상관없는 일"이라며 넘어가곤 했음. - 하지만 이번 사태(일명 'PHP2Shell', CVE-2026-109618·109619)가 진짜 무서운 이유는, 워드프레스나 라라벨 같은 '프로그램'의 문제가 아니라 그 밑바닥에서 모든 코드를 돌려주는 'PHP 언어 엔진 자체'가 뚫렸기 때문임. - 자동차로 치면 현대차냐 벤츠냐(워드프레스냐 라라벨이냐)의 문제가 아니라, 두 차에 공통으로 들어가는 '엔진 자체'에 결함이 터진 거임. - 라라벨로 아무리 보안을 튼튼하게 짜놨어도, 해커가 웹사이트에 요청을 던지는 순간 라라벨이 그걸 검사하기도 전에 밑바닥 PHP 엔진에서 먼저 에러가 나며 뚫려버림. 심지어 옛날 버전(PHP 5·7)부터 최신 버전(PHP 8.2~8.5)까지 22년 치 버전이 전부 해당됨. 3. 도대체 어떻게 뚫리는 건가? — 로그인도 없이 원격에서 서버를 통째로 뺏김 - 이번 취약점의 위험도 점수는 10점 만점에 무려 '9.2점(Critical)'임. - 해킹 원리를 아주 쉽게 풀면 이럼. 해커가 홈페이지의 파일 업로드 창 같은 곳에 일부러 서버 메모리 한도를 초과하는 무거운 요청을 던져서 강제로 에러를 냄. - 그러면 서버가 당황해서 작업을 급하게 멈추는데, 이때 메모리를 제대로 치우지 못해 '찌꺼기 공간'이 남게 됨. 바로 다음 순간 해커가 이 빈틈에 악성 명령어를 밀어 넣으면, 서버가 이걸 정상 명령으로 착각하고 그대로 실행해 버리는 거임. - 즉, 해커가 관리자 아이디나 비밀번호를 전혀 몰라도(로그인 없이), 원격에서 요청 몇 번만 날리면 서버 뒷문(Shell)을 따고 들어와 고객 개인정보 DB를 빼가거나 랜섬웨어를 심고 서버를 통째로 장악할 수 있음. 4. 패치 나오기 전에 해킹 방법부터 유출돼서 사이트 문 닫는 소동까지 벌어짐 - 더 아찔했던 건 어제 공식 보안 패치가 나오기 직전에 이 취약점 정보와 해킹 원리가 외부에 먼저 새어나갔다는 거임. - 고칠 약(패치)도 없는데 공격 방법부터 퍼지자, 유명 개발자 사이트(아치 리눅스 위키·포럼 등)들은 해커들에게 털릴까 봐 아예 서버를 내리고 사이트 문을 걸어 잠그는 비상사태까지 벌어짐. - 결국 미국 국가안보국(NSA)과 유럽 보안당국까지 긴급 경보를 발령했고, 현재 PHP 개발팀이 부랴부랴 긴급 보안 패치(PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12)를 내놓은 상태임. 그런데 진짜 큰 문제는 지금부터임. 대기업이야 전담 보안팀이 바로 서버 엔진을 업데이트하겠지만, 전 세계에 깔린 수많은 자영업자 쇼핑몰, 워드프레스 블로그, 병원·중소기업 홈페이지들은 외주 업체에 제작만 맡겨놓고 몇 년째 서버 업데이트 한 번 없이 방치된 곳이 수두룩함. (라라벨 쓰는 회사들도 코드 업데이트가 아니라 서버의 PHP 엔진 자체를 올려야 막을 수 있음) 뿐만 아니라 한국만 봐도 디시인사이드, 에펨코리아, 뽐뿌, 루리웹, 인벤, 보배드림 등 오래전부터 운영되어 온 대형 온라인 커뮤니티 대다수가 PHP(그누보드·XE·라이믹스 등)에 뿌리를 두고 있고, 해외 역시 위키피디아부터 수많은 대형 IT·게임 포럼(XenForo·vBulletin·phpBB 기반)들이 전부 PHP로 돌아가고 있음. 이미 해킹 원리가 세상에 다 공개된 이상, 해커들이 자동화 봇을 돌려서 아직 패치 안 한 전 세계 웹사이트들을 무차별로 털기 시작할 거라, 웹사이트나 쇼핑몰 운영하는 사람들은 오늘 당장 서버부터 점검해 봐야 함. 그리고, 서비스를 운영하는 사람이 아니더라도 내 정보가 쉽게 탈취되고 다양한 방면으로 악용되거나 사용될 수 있는 위험성이 있는 전 세계적인 위험에 빠진 상황.