PHP·노드제이에스 동시 타격, RCE 취약점 경보

프로그래밍 언어인 PHP와 소프트웨어 실행 환경인 노드제이에스(Node.js)에서 원격 코드 실행(RCE)이 가능한 보안 결함이 잇따라 발견되어 보안 업계에 비상이 걸렸다. 특히 인공지능(AI)이 취약점을 탐지하는 수준을 넘어 실제 공격 코드를 생성하는 데까지 활용되는 정황이 포착되면서, 신속한 보안 대응과 취약점 관리 역량 확보가 시급한 과제로 부상했다.

27일 IT 및 보안 업계에 따르면, PHP 취약점과 관련해 AI를 이용한 탐지 사례와 공격 코드를 시험하는 움직임이 각각 보고되었다. 보안 업데이트가 계속해서 발표되고 있지만, 오픈소스의 유지 및 보수를 담당할 인력 부족 문제가 해결되지 않아 대응에 어려움을 겪고 있다.

PHP 개발팀은 현지시간 지난 21일, 'PHP2Shell'이라 불리는 두 건의 취약점(CVE-2026-109618, CVE-2026-109619)에 대한 보안 패치를 배포했다. 공통 취약점 평가 시스템(CVSS) 4.0 기준 두 결함 모두 9.2점을 기록하며 '치명적(Critical)' 등급으로 분류되었다. 해당 취약점들은 인증 절차 없이도 서버에서 임의의 코드를 실행할 수 있게 해, 악성 파일 설치나 정보 탈취를 허용할 위험이 크다.

이에 따라 과학기술정보통신부와 한국인터넷진흥원(KISA)은 민간 분야 사이버위기 경보를 '주의' 단계로 격상하고, 보안 업데이트 적용과 이상 접속 기록에 대한 면밀한 점검을 당부했다. 개인정보보호위원회 역시 데이터베이스 접근 통제와 보안 패치 적용을 권고한 상태다.

AI 활용 공격 징후 포착과 대응 지연의 문제점

노드제이에스에서도 유사한 RCE 취약점인 'Node2Shell'(CVE-2026-111497)이 공개되었다. 오픈AI의 Codex Security팀이 발견해 제보한 이 결함은 구글이 개발한 브로틀리(Brotli) 데이터 압축 해제 모듈의 결함과 연관되어 있다. 개발진은 이를 '높음(High)' 등급으로 규정하고 22.23.4, 24.22.1, 26.12.1 등 수정 버전을 배포했으며, KISA 또한 이용자들에게 즉각적인 업데이트를 권고했다.

PHP 취약점의 경우, 문제의 징후가 처음 발견된 이후 실제 수정까지 상당한 시간이 소요된 것으로 드러났다. PHP 개발팀은 2024년 외부 보안 감사 과정에서 메모리 부족(OOM)과 관련된 취약점 징후를 확인했으나, 구체적인 공격 경로를 파악하지 못한 상태에서 수정 방안에 대한 이견이 발생하며 작업이 수개월간 지연되었다. 이후 2026년 8월, 칼리프(Calif)와 오픈AI가 동일한 근본 원인을 가진 RCE 취약점을 보고하면서 문제가 재점화되었고, PHP 재단은 8월 11일부터 이를 최우선 과제로 처리 중이다.

취약점이 공식 공개되기 전부터 공격 시도는 이미 관측되었다. 아마존은 취약점 공개 4일 전인 지난 17일 허니팟 네트워크를 통해 공격 시도를 확인했으며, 클라우드플레어 역시 공개 전부터 공격을 포착한 뒤 공개 직후 시도가 급증했다고 밝혔다. 다만 실제 운영 서버에서의 성공 여부는 아직 확인되지 않았다. 특히 글로벌 보안업체 사이퍼마(CYFIRMA)는 한국어를 사용하는 공격 세력이 AI 모델을 통해 PHP2Shell 공격 코드의 우선순위를 설정하고 실제 사용 전 시험하는 정황을 포착했다고 보고했다.

오픈소스 유지보수 인력 부족과 보안 투자 과제

지난 23일에는 기존 패치로 해결되지 않는 PHP의 신규 취약점(CVE-2026-115560)도 등장했다. 특정 세션 처리 설정에서 발생하는 이 결함에 대해 KISA는 패치 전까지 파일 업로드 추적 기능을 끄고 PHP 작업을 재시작할 것을 권고했다.

이러한 위협 속에서 오픈소스 생태계의 유지보수 역량 부족이 심각한 문제로 지적된다. 로이터통신에 따르면 PHP 재단은 상임이사 1명과 14명의 시간제 계약직으로 운영되며 기부금에 의존하고 있다. 엘리자베스 배런 상임이사는 코드 변경 제안이 전년 대비 2배 늘었음에도 기여자는 정체되어 있어, 버그 보고서를 검토할 전문 인력이 매우 부족하다고 토로했다.

임종인 고려대학교 정보보호대학원 명예교수는 AI가 공격 코드(익스플로잇)를 빠르게 생성하며 해킹의 대중화가 현실화되고 있다고 경고하며, 패치까지의 시간을 단축하기 위해 능동적인 대응이 필요하다고 강조했다. 박춘식 아주대학교 사이버보호학과 교수는 오픈소스 보안 유지보수에 비용이 발생함에도 영세 기업의 투자 여력이 부족함을 지적하며, AI 산업 투자만큼 보안 투자도 확대하고 정부의 지원을 강화해야 한다고 제언했다.