[더팩트ㅣ이윤경 기자] 프로그래밍 언어 'PHP'에 이어 소프트웨어 실행 환경인 '노드제이에스'에서도 원격 코드 실행(RCE) 취약점이 잇따라 공개됐다. 인공지능(AI)이 보안 취약점을 찾아내는 동시에 공격 코드 생성에도 활용되면서 취약점 관리와 신속한 보안 대응의 중요성이 커지고 있다.
27일 정보기술(IT)·보안업계에 따르면 PHP 취약점과 관련해 AI를 활용한 취약점 탐지 사례와 공격 코드 시험 정황이 각각 보고됐다. 관련 보안 업데이트가 이어지는 가운데 취약점 관리와 유지·보수 역량을 확보하는 일이 주요 과제로 떠오르고 있다.
PHP 개발팀은 지난 21일(현지시간) 'PHP2Shell' 취약점 2건(CVE-2026-109618·CVE-2026-109619)에 대한 보안 업데이트를 공개했다. 두 취약점은 공통 취약점 평가 시스템(CVSS) 4.0 기준 각각 9.2점으로 '치명적(Critical)' 등급이다. 취약한 서버에서 별도 인증 없이 임의의 코드를 실행할 수 있어 악성 파일 설치와 정보 탈취 등으로 이어질 수 있다.
이에 과학기술정보통신부와 한국인터넷진흥원(KISA)은 민간 분야 사이버위기 경보를 '주의'로 상향하고 보안 업데이트 적용과 이상 접속 기록 점검을 당부했다. 개인정보보호위원회도 보안 패치와 데이터베이스 접근 통제 등을 권고했다.
PHP에 이어 노드제이에스에서도 RCE 취약점인 'Node2Shell'(CVE-2026-111497)이 공개됐다. 오픈AI Codex Security팀이 발견해 제보한 이 취약점은 구글이 개발한 데이터 압축 기술 브로틀리(Brotli) 압축 해제 모듈의 결함과 관련이 있다.
개발진은 해당 취약점을 '높음(High)' 등급으로 분류하고 수정 버전인 22.23.4·24.22.1·26.12.1을 배포했다. 영향받는 버전을 사용하는 이용자는 보안 업데이트를 적용해야 한다. KISA도 관련 보안 공지와 함께 이용자들에게 업데이트를 권고했다.
◆ 취약점 징후 발견 후 수정 지연…AI는 공격 준비까지
PHP 취약점은 초기 징후가 발견된 뒤에도 수정까지 상당한 시간이 걸렸다. PHP 개발팀은 2024년 외부 보안 감사에서 지적된 문제를 수정하는 과정에서 메모리 부족(OOM)과 관련한 취약점 징후를 발견했다. 당시 악용 가능성을 예상했지만 구체적인 공격 경로를 확인하지 못했고, 수정 방안을 둘러싼 이견 등이 겹치면서 작업은 수개월간 중단과 재개를 반복했다.
이후 2026년 8월 사이버보안 업체 칼리프(Calif)와 오픈AI가 같은 근본 원인에서 비롯된 RCE 취약점을 보고하면서 문제가 다시 부각됐다. PHP 재단은 8월 11일부터 해당 문제의 수정을 최우선 과제로 삼았다고 밝혔다.
취약점 공개 전부터 악용 시도도 포착됐다. 아마존은 PHP2Shell 취약점이 공개되기 나흘 전인 지난 17일 위협 탐지용 허니팟 네트워크에서 공격 시도를 확인했다고 밝혔다. 클라우드플레어 역시 취약점 공개 전부터 공격 시도를 관측했으며, 공개 직후 시도가 급증했다고 전했다. 다만 실제 운영 서버에서 공격이 성공했는지는 확인되지 않았다.
AI를 활용해 공격을 준비한 정황도 보고됐다. 글로벌 보안업체 사이퍼마(CYFIRMA)는 한국어를 사용하는 공격 세력이 AI 모델로 PHP2Shell 공격 코드의 우선순위를 정하고 실제 사용 전 시험한 정황을 포착했다고 밝혔다. 다만 해당 코드가 실제 공격에 사용됐는지는 확인되지 않았다.
지난 23일에는 기존 보안 업데이트로 해결되지 않는 PHP의 신규 취약점(CVE-2026-115560)도 공개됐다. 특정 세션 처리 설정 조합에서 발생하는 취약점으로, KISA는 패치 배포 전까지 파일 업로드 진행 상황 추적 기능을 비활성화하고 PHP 작업 프로세스를 재시작하도록 권고했다. 앞서 PHP2Shell 대응을 위해 같은 조치를 적용했다면 추가 조치는 필요하지 않다.
◆ 유지·보수 인력 부족에 보안 투자까지…AI 시대 대응 과제
취약점 발견과 악용 속도가 빨라지는 가운데, 이를 검토하고 수정하는 개발·유지보수 역량도 과제로 떠올랐다. 로이터통신에 따르면 PHP 재단은 엘리자베스 배런 상임이사 1명과 시간제 계약직 14명으로 운영되며 기부금과 보조금에 의존하고 있다.
배런 상임이사는 PHP 프로젝트에 접수되는 코드 변경 제안이 1년 전보다 두 배 가까이 늘었지만 기여자 수는 그만큼 증가하지 않았다며 코드 변경과 버그 보고서를 검토할 인력과 전문성이 부족하다고 밝혔다.
AI가 취약점을 찾아내고 공격 코드까지 생성하는 속도가 빨라질수록 발견된 문제를 검토하고 수정하는 역량도 중요해진다. 취약점을 빠르게 찾아내는 기술뿐 아니라 이를 분석하고 보완할 인력과 투자도 뒷받침돼야 한다는 지적이다.
임종인 고려대학교 정보보호대학원 명예교수는 "AI가 취약점 발견을 넘어 익스플로잇(공격 코드)까지 빠르게 생성할 수 있게 되면서 해킹의 대중화가 현실화하고 있다"며 "취약점 발견부터 패치까지 대응할 수 있는 시간이 과거보다 크게 줄어든 만큼 사이버 해킹이 더욱 활성화되기 전에 취약점을 능동적으로 먼저 발견하고 패치해야 한다"고 강조했다.
박춘식 아주대학교 사이버보호학과 교수는 "오픈소스는 무료로 이용할 수 있지만 보안 취약점을 보완하고 유지·보수하는 데는 비용이 들고, 이를 활용하는 영세·중소기업도 보안 투자 여력이 부족하다"며 "AI 산업에 대한 투자를 확대하는 만큼 보안 투자도 함께 늘리고, 영세·중소기업이 보안에 필요한 조치를 할 수 있도록 정부 지원도 강화해야 한다"고 말했다.