I think we’re going to have a couple years where every single week it’s going to feel like the sky is falling.
AI-discovered bugs may soon trigger fresh disruptions, cyber experts say
https://www.investing.com/news/stock-market-news/aidiscovered-bugs-may-soon-trigger-fresh-disruptions-cyber-experts-say-4968682
사실 이 발언이 보안이슈 소모임을 개설하고 관련 정보를 꾸준히 공유하게 된 동기입니다.
우리가 주의해서 볼 것은 PHP뿐 아니라 여러 사이트가 공통으로 사용하는 소프트웨어에서 문제가 발견되고, 공격으로 이어지는 속도입니다. 공통 취약점을 이용한 공격이 자동화되면 작은 사이트도 무차별 공격의 범위에 들어갈 수 있습니다.
보안 서비스를 판매하는 기업의 대표가 한 말이기 때문에 사업적 이해관계도 고려해야 하지만, 이번 PHP 보안 이슈의 발견과 대응 과정을 보면 단순한 과장으로 치부하기도 어려운 것 같습니다.
PHP2Shell에 관한 PHP 재단의 발표에는 이런 현실이 드러나 있습니다.
https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
PHP 자체의 보안 작업은 재단 지원을 받는 소수의 개발자와 일부 자원봉사자의 도움에 의존하고 있습니다.
Yet security work on PHP itself still depends on a small group of foundation-funded developers and a little volunteer help.
전 세계 수많은 사이트에서 PHP를 사용하고 있지만, 정작 그 기반이 되는 PHP의 보안을 유지하는 인력은 충분하지 않다는 이야기입니다. 취약점을 찾아내는 속도가 빨라진다고 해서, 이를 검토하고 안전하게 수정할 인력까지 함께 늘어나는 것은 아닙니다.
도구는 방어자와 공격자 모두에게 이전보다 빠르게 버그를 찾아주고 있으며, 보고되는 문제도 계속 늘어날 것이라고 합니다.
Tools now find bugs faster than ever, for defenders and attackers alike, and the number of reports will keep growing.
문제를 발견한 뒤에도 어떤 방식으로 수정할지 결정하고, 기존 기능과의 호환성을 확인하고, 패치를 검토하는 일이 남습니다. PHP 재단은 이런 판단을 내릴 수 있는 숙련된 개발자가 부족하다고 설명합니다. 실제로 이번 문제의 해결이 지연된 배경에도 의사결정 과정과 자원 부족이 있었다고 인정했습니다.
Making those decisions takes experienced engineers who know the entire PHP codebase, and today there are too few of them.
그렇게 어렵게 준비한 패치를 배포하는 과정도 순탄하지 않았습니다. 배포업체들이 함께 업데이트를 제공할 수 있도록 공개 시각을 맞춰 놓았지만, 취약점 정보가 먼저 퍼지고 공격 시연 영상이 실수로 공개됐습니다. 한 업체는 약속한 시각보다 먼저 수정 이미지를 배포했고, PHP 측도 당초 공개 일정을 하루 앞당겨야 했습니다.
PHP2Shell 보안 패치 배포 타임라인
(PHP 재단 발표, 한국시간(KST) 기준)
| 시각 | 진행상황 |
|---|---|
| 당초 계획: 10월 22일 23:00 | 배포업체들이 패키지를 준비한 뒤 보안 패치를 함께 공개할 예정이었습니다. |
| 10월 21일 00:00경 | 두 취약점의 CVE 번호가 온라인 게시판과 SNS에 퍼지기 시작했습니다. 잘못된 공개 시각과 심각도 점수도 함께 유통됐습니다. 이 단계에서는 기술적 세부 내용이 유출되지는 않았습니다. |
| 10월 21일 04:30 | PHP 측이 사전 공지를 발표했습니다. 패치 공개 일정도 10월 22일 23시에서 21일 23시로 하루 앞당겼습니다. |
| 10월 21일 05:00경 | 취약점 발견에 참여한 보안업체 Calif가 공격 시연 영상을 실수로 공개했습니다. 영상은 삭제됐지만 복제본이 퍼졌고, 재단은 이것이 공격 실증 코드 개발을 앞당겼다고 설명했습니다. |
| 10월 21일 08:00경부터 | 일부 핵심 인프라 제공업체에 임시 완화 방법을 전달했습니다. 재단은 이 안내도 유출됐을 가능성이 있다고 밝혔습니다. |
| 10월 21일 16:41 | Chainguard가 수정 사항을 포함한 이미지를 조기 공개했습니다. 앞당겨진 공동 공개 시각보다도 6시간 19분 빨랐습니다. |
| 10월 21일 23:00 | 조정된 공식 공개 시각입니다. PHP는 8.2.35·8.3.36·8.4.27·8.5.12 보안 수정 버전을 공개했습니다. |
PHP 재단이 우려한 것은 다른 이용자들이 업데이트를 기다리는 동안 공격자가 먼저 수정 내용을 분석할 수 있게 됐다는 점입니다. 모두가 패치를 준비할 수 있도록 마련한 시간이 끝까지 지켜지지 않은 것입니다.
반면 공격하는 쪽에서는 AI를 통해 필요한 시간과 수고를 줄일 수 있습니다. AWS는 이번 사건을 분석하면서, AI가 패치 내용을 분석해 공격 방법을 만드는 비용을 낮추고 있으며 더 많은 공격자가 짧은 시간 안에 움직일 수 있게 됐다고 설명했습니다. 패치 공개 후 추가 공격 코드가 등장하고, 곧바로 공격 시도에 사용되는 모습도 관측했다고 합니다.
Once the embargo was lifted and the patch was released, additional proof-of-concept exploits appeared within hours, and we saw them used against our sensors almost immediately.
Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot
https://aws.amazon.com/ko/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/
공격에 필요한 시간과 수고가 줄어들수록 무차별 공격의 범위가 넓어질 수 있으며, 소규모 사이트도 그 위험에서 예외가 되기 어렵습니다.
비단 이번 사태뿐 아니라 26년 2월에 이미 AWS는 공격자가 생성형 AI를 활용해 무차별적인 공격을 한 사례를 발표한 바 있습니다.
PHP 취약점이 아니라 외부에 노출된 관리 인터페이스와 취약한 인증정보를 악용한 사례입니다.
Motivation: Suspected financially motivated, based on widespread, indiscriminate targeting and low sophistication
AI-augmented threat actor accesses FortiGate devices at scale
https://aws.amazon.com/ko/blogs/security/ai-augmented-threat-actor-accesses-fortigate-devices-at-scale/
영국 국가사이버보안센터(NCSC)도 2027년까지의 위협 전망에서 AI가 알려진 취약점을 악용하는 능력을 높여, 보안 수정이 적용되지 않은 시스템에 대한 공격량을 증가시킬 것이라고 경고하고 있습니다.
increasing the volume of attacks against systems that have not been updated with security fixes
Impact of AI on cyber threat from now to 2027
https://www.ncsc.gov.uk/report/impact-ai-cyber-threat-now-2027
공격자가 적은 인력과 수고로 더 많은 대상을 탐색하고 공격할 수 있게 된다는 점이 중요한 변화입니다.
내 사이트를 특별히 조사하고 선택한 사람이 없어도 취약한 서버를 찾아다니는 무차별 공격이 도달할 수 있는 것입니다.
이런 상황을 종합하면 Cloudflare CEO의 전망을 단순히 과장된 이야기로만 받아들이기는 어렵습니다. 취약점을 발견하고 공격에 활용하는 속도는 빨라지는데, 이를 안전하게 수정하고 각 운영 환경에 적용하는 데는 여전히 사람과 시간이 필요하기 때문입니다.
그래서 이번 패치를 적용한 것으로 관심을 끝내기보다는 이후 상황도 면밀하게 살펴보고 대응해야 한다는 결론에 이르게 됩니다. 추가 취약점이 확인될 수도 있고, 기존 대응방법이 보완되거나 내가 사용하는 환경에 대한 안내가 추가될 수 있으니까요. 그것도 아주 빠르게요.
모든 내용을 기술적으로 이해하기는 어렵더라도, 내 사이트에 해당하는 문제인지, 필요한 조치가 반영됐는지, 추가로 확인할 사항은 없는지는 계속 살펴보려고 합니다. 여러분도 함께 관심을 가져주셨으면 합니다.
특히 그누보드로 제작되어 운영되는 사이트가 많고, 사이트마다 PHP 버전이나 호스팅 환경, 관리 여건도 다르기 때문에 이번 상황을 더욱 주의 깊게 보고 있습니다. 전담 개발자나 서버 관리자 없이 운영되는 곳에서도 필요한 정보를 놓치지 않도록, 확인된 내용과 대응 시 참고할 사항을 꾸준히 공유하려고 합니다.
댓글 2개