티스토리 뷰
전 세계 웹사이트를 뒤흔든 PHP 보안 취약점 'PHP2Shell'.
그런데 이번 사건에서 진짜 화제가 된 건 취약점 자체보다 두 가지 반전입니다.
하나는 이 치명적인 구멍을 사람이 아니라 AI가 찾아냈다는 것, 다른 하나는
클라우드플레어가 취약점이 공개되기 약 9시간 전에 이미 공격을 막고 있었다는 것입니다.
이 글에서는 AI가 찾은 PHP 취약점이 왜 '역대급'으로 불리는지,
그리고 클라우드플레어가 이번 사건의 주인공으로 떠오른 이유를 쉽게 정리합니다.
PHP2Shell 사건, 30초 요약
| 구분 | 내용 |
|---|---|
| 무엇이 | 웹사이트 약 70~75%가 쓰는 PHP에서 치명적 취약점 2건 발견 |
| 얼마나 위험 | 로그인 없이 서버 원격 장악 가능, 위험도 9.2점(10점 만점) |
| 누가 찾았나 | AI를 활용한 보안업체(캘리프·OpenAI·위즈) |
| 패치 | 2026년 10월 21일, 정보 유출로 하루 앞당겨 공개 |
| 가장 주목받은 기업 | 클라우드플레어 (공개 9시간 전 차단, 주가 급등) |
▶ 자세히 보기: PHP 보안 취약점 PHP2Shell 총정리
반전 ①: 역대급 해킹 구멍, AI가 찾아냈다
이번 PHP 취약점은 미국 보안업체 캘리프(Calif)가 OpenAI의 AI 모델을 활용해 찾아냈습니다.
비슷한 시기 OpenAI와 구글 계열 보안업체 위즈(Wiz)도 각자 취약점을 찾아 신고했습니다.
이들은 지난 8월 취약점을 발견한 뒤, 패치가 준비될 때까지 외부에 알리지 않고 PHP 개발팀과 대응해 왔습니다.
"AI가 발견한 보안 취약점 가운데 역대 가장 심각하다."
— 아미 루트와크, 위즈 공동창업자
6년 묵은 버그를 AI가 '진짜 무기'로 바꿨다
더 놀라운 사실이 있습니다. 이번 취약점의 출발점이 된 메모리 관련 버그는
2020년에 이미 발견됐고, 2024년 점검에서도 다시 확인됐습니다.
하지만 실제로 해킹에 쓸 수 있다는 게 증명되지 않아 그대로 방치됐습니다.
그런데 최신 AI 모델이 이 오래된 버그를 분석해 서버를 원격으로 장악하는 수준까지 이어질 수 있다는 것을 밝혀냈습니다.
사람이 "별로 위험하지 않다"고 넘긴 구멍을 AI가 다시 파고든 셈입니다.
'AI가 취약점을 찾는 시대'가 시작됐다
OpenAI는 앞으로 몇 달 동안 AI를 이용한 비슷한 취약점 발견이 급격히 늘어날 것으로 내다봤습니다.
이 말은 양날의 검입니다.
- 좋은 점 - 보안업체가 AI로 오래된 구멍을 먼저 찾아 막을 수 있습니다.
- 무서운 점 - 해커도 같은 AI로 구멍을 찾을 수 있습니다. 방치된 오래된 소프트웨어일수록 위험이 커집니다.
반전 ②: 클라우드플레어는 9시간 먼저 막고 있었다
클라우드플레어(Cloudflare)는 전 세계 수많은 웹사이트 앞에서 공격 트래픽을 걸러주는 회사입니다.
식당으로 치면 손님이 주방에 들어가기 전에 입구에서 수상한 사람을 막는 경비원 역할입니다.
클라우드플레어가 한 일
- 공개 약 9시간 전 차단 시작 - 회사 발표에 따르면 10월 21일 새벽(UTC 3시 2분) 공격 차단 규칙을 적용했습니다.
- 무료 이용자까지 전원 보호 - 유료 고객뿐 아니라 무료 요금제 사이트에도 별도 설정 없이 적용했습니다.
- 실시간 업데이트 - 해커들이 차단을 피하려고 공격 방식을 바꾸자, 그에 맞춰 방어 규칙을 계속 고치고 있다고 밝혔습니다.
PHP 패치를 바로 적용하기 어려운 사이트에게는 패치 전까지 시간을 벌어주는 방패가 된 셈입니다.
※ 차단 시점과 공격 관측 내용은 클라우드플레어 자체 발표 기준이며, 외부에서 독립적으로 검증된 수치는 아닙니다. 또 클라우드플레어 방어는 클라우드플레어를 거치는 사이트에만 적용되며, 근본 해결책은 PHP 업데이트입니다.
주가도 바로 반응했다
시장도 클라우드플레어를 이번 사건의 직접 수혜 기업으로 꼽았습니다.
10월 21일(현지시간) 미국 증시에서 클라우드플레어(NET) 주가는 보도 시점에 따라 약 5.5~6.7% 올랐습니다.
크라우드스트라이크, 옥타, 지스케일러 등 다른 보안주도 함께 상승했습니다.
다만 해외 일부 분석은 이날 보안주 상승에 PHP 이슈 외에 소프트웨어 업종 전반으로의 자금 이동도 함께 작용했다고 봅니다.
패치 전부터 이미 공격은 시작됐다
이번 사건이 더 긴박했던 이유는 시간 싸움이었기 때문입니다.
| 시점 | 상황 |
|---|---|
| 2026년 8월 | AI 활용 보안업체들이 취약점 발견, 비공개 대응 시작 |
| 10월 20일 | 취약점 정보 온라인 유출 → 패치 공개 하루 앞당김 |
| 10월 21일 새벽 | 클라우드플레어 차단 규칙 적용, 공격 시도 관측 |
| 10월 21일 | PHP 공식 패치 공개, 여러 보안업체 실제 공격 시도 포착 |
| 10월 22일 | 네덜란드·핀란드 일부 정부 사이트 예방 차원 중단, 국내 KISA 업데이트 권고 |
미국 NSA·FBI도 즉각적인 업데이트나 오프라인 전환을 권고한 것으로 전해졌습니다.
국내에서는 한국인터넷진흥원(KISA)이 보안 업데이트를 권고했습니다.
그래서 나는 뭘 해야 할까?
- 티스토리·네이버 블로그 사용자 - 운영사가 서버를 관리하므로 따로 할 일은 거의 없습니다.
- 직접 사이트를 운영한다면 - PHP 버전을 확인하고 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 이상으로 업데이트하세요.
- PHP 5·7 구버전이라면 - 공식 패치가 없으니 지원되는 버전으로 전환이 필요합니다.
- 당장 패치가 어렵다면 - 웹 방화벽(클라우드플레어 등)으로 임시 방어를 하면서 최대한 빨리 업데이트하세요.
AI 해킹 시대 자주 묻는 질문 (FAQ)
Q1. AI가 해킹 도구를 만든 건가요?
아닙니다. 이번에는 보안업체가 AI를 방어 목적으로 활용해 구멍을 먼저 찾아 PHP 개발팀에 알렸습니다. 다만 정보가 공개 전에 유출되면서 공격자들도 빠르게 움직였습니다.
Q2. 클라우드플레어를 쓰면 PHP 업데이트를 안 해도 되나요?
아닙니다. 클라우드플레어도 이를 임시 방편이라고 설명합니다. 확실한 해결책은 PHP 업데이트뿐입니다.
Q3. 앞으로 이런 일이 더 자주 생길까요?
OpenAI는 AI를 이용한 취약점 발견이 앞으로 급격히 늘어날 것으로 예상했습니다. 오래된 소프트웨어를 방치하지 않는 것이 가장 중요한 대비책입니다.
마무리: AI가 찾고, 클라우드플레어가 막았다
- ✅ PHP2Shell은 AI를 활용한 보안업체가 찾아낸 위험도 9.2점의 취약점입니다.
- ✅ 위즈는 "AI가 찾은 취약점 중 역대 가장 심각"하다고 평가했습니다.
- ✅ 클라우드플레어는 공개 약 9시간 전부터 무료 이용자까지 공격을 차단했고, 주가도 급등했습니다.
- ✅ 'AI가 취약점을 찾는 시대'가 열리면서 오래된 소프트웨어 관리가 더 중요해졌습니다.
이번 사건은 AI가 보안의 판을 바꾸고 있다는 신호탄입니다. 앞으로 비슷한 소식이 나오면 계속 정리해 드리겠습니다. 도움이 되셨다면 구독과 공유 부탁드립니다.
※ 이 글은 정보 제공 목적이며 특정 종목의 투자를 권유하지 않습니다.