【와티비커뮤니티-WATVcommunity】 보증업체놀이터추천홍보 : 프로그램제작판매제작의뢰 : 스포츠분석 : 무료스포츠중계tv : 섹시bj움짤 : 스포츠뉴스 : 안구정화 놀이터홍보 놀이터후기공유 피해사례공유

로그인

채팅

글쓰기

[IT뉴스]PHP 이어 Node.js까지···웹사이트 원격 조종 취약점 잇따라

온카뱅크관리자

2026-10-26 15:57:25

<div id="layerTranslateNotice" style="display:none;"></div> AI 활용 취약점 탐색 늘며 결함 속속 드러나 PHP·Node.js 같은 날 긴급 패치 
 <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
 <section dmcf-sid="4Jm0HTd8Lp">
 <figure class="figure_frm origin_fig" contents-hash="9e09235ebd635d95d2d84b8043745c148ac49b682665a865f84f04a198c5e7f6" data-idxno="241385" data-type="photo" dmcf-pid="8ispXyJ6i0" dmcf-ptype="figure">
 <img alt="이미지 = 제미나이 생성" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/26/552777-a6ToU27/20261026155404029nuwh.png" data-org-width="960" dmcf-mid="f36wai3GiU" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/26/552777-a6ToU27/20261026155404029nuwh.png" width="658">
 <figcaption class="txt_caption default_figure">
 이미지 = 제미나이 생성
 </figcaption>
 </figure>
 [시사저널e=송주영 기자] 웹 서비스용 소프트웨어에서 인증 없이 원격으로 코드를 실행할 수 있는 취약점이 잇따라 발견됐다. AI를 활용한 취약점 탐색이 늘면서 오래된 결함이 연이어 드러난 것이다. AI가 인터넷 전반에 영향을 미치는 결함을 찾아내면서 보안 위협이 더 커졌단 분석이다.
 26일 보안업계에 따르면 최근 PHP와 Node.js 등 웹 서버 런타임 취약점이 잇따라 발견됐다. 두 취약점 모두 개발자가 작성한 애플리케이션 코드가 아닌 런타임 내에서 발생한 오류다.
 미국 월스트리트저널(WSJ)은 AI 기술로 보안 연구자들이 수천 건의 소프트웨어 버그를 찾아내고 있으며 패치해야 할 문제가 쏟아져 PHP 같은 오픈소스 프로젝트가 감당하기 어려운 지경이라고 보도했다.
 ◇ Node2Shell, 압축 기능 안 써도 노출
 Node2Shell은 Node.js에 들어 있는 압축 해제 기능에서 발견됐다. 구글이 만든 데이터 압축 기술 '브로틀리'로 압축된 데이터를 풀 때 정해진 메모리 공간 밖에까지 데이터를 쓰는 결함이다. 공격자는 로그인 없이 조작한 압축 데이터를 보내는 것만으로 서버를 멈추게 하거나 메모리에 담긴 정보를 빼내고 서버를 원격으로 조종할 수 있다.
 Node.js 개발팀은 위험도를 '높음'으로 분류했고 브로틀리를 관리하는 구글은 10점 만점의 국제 취약점 평가 기준(CVSS 4.0)으로 9.2점을 매겼다.
 공격은 서버가 조작된 압축 데이터를 풀 때 실행된다. 개발자들이 널리 쓰는 웹 개발 도구와 통신 도구 상당수가 받은 압축 데이터를 자동으로 풀어준다. 개발자가 압축 기능을 따로 쓰지 않아도 공격이 가능하단 지적이다.
 보안업계 관계자는 "공격자가 서버에 데이터를 보내는 경우뿐 아니라 서비스가 다른 서버에서 받아온 압축 데이터를 풀 때도 공격이 실행된다"고 설명했다.
 영향을 받는 버전은 Node.js 22.x, 24.x, 26.x 라인 중 최신 패치를 적용하지 않은 버전이다. Node.js 보안팀은 22.23.4, 24.22.1, 26.12.1 이상으로 업데이트하라고 권고했다. 공식 지원이 끝난 Node 20 이하는 오픈소스 차원의 수정이 없어 운영체제 등에서 보안 업데이트 여부를 따로 확인해야 한다.
 구글은 올해 2월 브로틀리 원본에서 이 결함을 고쳤다. 이 수정 내용이 최근 Node.js에 반영되기까지 8개월이 걸린 셈이다. 패치가 발표된 이후 실제 공격이 가능하다는 것을 보여주는 시험용 공격 코드도 인터넷에 공개됐다.
 ◇ PHP2Shell, 패치 하루 전 정보 유출
 앞서 PHP도 문제가 됐다. PHP 보안팀은 긴급 패치를 내고 취약점 두 건(CVE-2026-109618, CVE-2026-109619)을 수정했다. 두 건 모두 10점 만점의 국제 취약점 평가 기준(CVSS 4.0)으로 9.2점을 받아 가장 높은 '치명적' 등급으로 분류됐다.
 첫 번째 결함은 PHP가 요청을 처리하다 메모리가 부족해 중간에 멈출 때 생긴다. PHP는 요청 하나가 메모리를 많이 사용하는 것을 막기 위해 메모리 사용 한계를 두는데 이때 처리하다 만 정보를 완성된 정보로 잘못 알고 그대로 쓰면서 메모리가 망가지는 결함이 발생했다. 공격자는 이 틈을 타 서버에 명령을 내릴 수 있다.
 두 번째 결함은 앞선 요청이 끝나 비워진 메모리 자리를 다음 요청이 다시 찾아가 쓰면서 생긴다. 공격자는 비워진 자리에 미리 자기 데이터를 넣어두는 방식으로 서버를 조종할 수 있다.
 PHP는 워드프레스 등 주요 웹사이트 제작 도구의 바탕이 되는 개발 언어다. 전 세계 웹사이트의 약 70%가 PHP로 만들어진 것으로 추정된다. 결함이 수정된 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35다. 이미 지원이 끝난 8.1 이하 버전은 고친 버전이 나오지 않고, 8.2도 올해 12월 31일 지원이 끝난다.
 한국인터넷진흥원(KISA)은 지난 21일 PHP 업데이트를 권고하고 22일 기업용 대응 수칙을 냈다. KISA에 따르면 공격자는 서버에 원격조종 파일을 심거나 고객정보를 빼내고, 홈페이지를 바꾸거나 회사 내부망까지 침투할 수 있다. 서버 메모리에 남아 있는 비밀번호와 각종 접속 정보도 빼낼 수 있다.
 ◇ AI가 찾고 AI로 공격 코드 만든다
 두 취약점이 잇따라 나온 배경에는 AI를 활용한 취약점 탐색이 있단 지적이다. PHP2Shell은 미국 보안 기업 캘리프가 지난 8월 오픈AI의 GPT-5.6 솔 모델을 활용해 처음 찾았다. 구글 산하 위즈 연구팀도 몇 주 뒤 같은 결함을 발견했다.
 Node2Shell은 오픈AI 코덱스 시큐리티 소속 연구원 2명이 찾아 Node.js에 신고했다. 오픈AI는 이 밖에도 여러 심각한 취약점을 찾아 수정을 진행 중이라고 밝혔다.
 AI가 결함을 찾는 속도만큼 공격자가 패치를 분석해 공격 코드를 만드는 속도도 빨라졌단 분석이다.
 국내 보안업계도 무료 점검 서비스로 대응에 나섰다. 스틸리언과 피오링크는 웹사이트 주소만 넣으면 PHP 버전으로 PHP2Shell 영향 여부를 확인하는 서비스를 열었다.
 티오리는 별도 스크립트 설치 없이 운영 중인 서비스 URL만으로 Node2Shell 노출 위험을 점검하는 온라인 진단 서비스(nodejsguard.io)를 시작했다. 시스템 환경상 즉시 Node.js를 패치하기 어려운 경우에 대비해 패치 전까지 공격을 막을 수 있는 리버스 프록시·애플리케이션 단의 임시 완화 방안도 내놨다.
 임준오 티오리 AI&amp;사이버리서치팀 총괄은 "이번 Node2Shell 취약점은 개발자가 압축 기능을 직접 쓰지 않았더라도 웹 프레임워크가 응답을 처리하는 과정에서 자동으로 공격에 노출될 수 있어 사전 차단이 무엇보다 중요하다"고 설명했다.
 </section> 
 </div> 
 Copyright © 시사저널e 무단전재 및 재배포 금지

몸속에서 DNA 직접 고치는 시대 열리나…차세대 ‘프라임 편집’ 첫 체내 임상 초기 우주 20억년 재현…GPU 1만5000개로 '역대급 시뮬레이션'

댓글 총 0개

업체홍보/구인 더보기

놀이터홍보 더보기

지식/노하우 더보기

판매의뢰 더보기

포토 더보기