What is PHP ? PHP란 무엇이며, 어떻게 AI를 이용한 해킹 우려를 불러일으켰나?

[Condel]

인공지능이 PHP라는 주요 프로그래밍 언어에서 치명적인 보안 결함을 발견했습니다.

PHP는 전 세계 웹사이트의 약 70%를 구동하는 데 쓰이는 프로그래밍 언어입니다.

수요일 보안 패치가 공개됐으며, PHP 재단은 “PHP를 사용한다면 지금 즉시 업데이트해야 한다”고 당부했습니다.

전문가들은 취약점이 패치되더라도 외부 연동 시스템이나 오래된 PHP 버전은 위험으로 남을 수 있어서 강한 비밀번호, 이중 인증, 백업, 의심스러운 이메일·링크 차단 같은 여러 겹의 보안 수칙이 필요하다고 합니다.

Websites down: What is PHP and how has it raised AI hacking fears?

웹사이트 마비 사태: PHP란 무엇이며, 어떻게 AI를 이용한 해킹 우려를 불러일으켰나?

By AFP AFP 통신

Published Oct 22, 2026 4:54 pm KST Updated Oct 22, 2026 5:11 pm KST

Korea Times

Cables at a computer server, as cyber agencies warn that websites may be taken offline while PHP prepares a critical fix, Berlin, Germany, Oct. 21. Reuters-Yonhap 10월21일 독일 베를린에서 촬영된 컴퓨터 서버 케이블. 사이버 보안 기관들은 PHP가 중대한 보안 패치를 준비하는 동안 웹사이트가 오프라인 상태가 될 수 있다고 경고했다. 로이터-연합

TOKYO — Artificial intelligence has found critical security flaws in a major programming language called PHP, with many websites taken offline Thursday as organizations worldwide scramble to fend off would-be hackers.

도쿄 — 인공지능(AI)이 주요 프로그래밍 언어인 'PHP'에서 치명적인 보안 결함을 발견했다. 이로 인해 전 세계적으로 해커들의 공격을 막기 위한 대응이 분주하게 이루어지는 가운데, 목요일 다수의 웹사이트가 오프라인 상태가 되었다.

As AI's fast-advancing capabilities fuel concern over the increased risk of cyberattacks, here are some questions and answers about the situation:

AI의 급격한 기술 발전으로 사이버 공격 위험이 커질 것이라는 우려가 나오는 가운데, 이번 사태와 관련된 주요 문답을 정리했다.

What is PHP and how widely used is it?

PHP란 무엇이며, 얼마나 널리 사용되고 있는가?

Created in the early 1990s, PHP is a computer programming language that helps run an estimated 70 percent of the world's websites.

1990년대 초에 개발된 PHP는 전 세계 웹사이트의 약 70%를 구동하는 데 사용되는 컴퓨터 프로그래밍 언어이다.

It is "a backbone of the web," according to security firm Wiz Research, which says it used AI to find vulnerabilities hidden in PHP for more than a decade.

보안 기업 '위즈 리서치(Wiz Research)'는 PHP를 '웹의 근간'이라고 설명하며, 자사가 AI를 활용해 지난 10년 넘게 PHP 내부에 숨겨져 있던 취약점들을 찾아냈다고 밝혔다.

PHP — a name that originally stood for Personal Home Page — underpins popular web design platforms, meaning the flaws could allow hackers to break into various sites, from online stores to government services.

'퍼스널 홈 페이지(Personal Home Page)'의 약자인 PHP는 인기 있는 웹 디자인 플랫폼들의 기반이 된다. 즉, 이번 결함으로 인해 해커들이 온라인 쇼핑몰부터 정부 서비스에 이르기까지 다양한 사이트에 침입할 위험이 있다.

A fix was released Wednesday, with the PHP Foundation telling the tech departments of companies and organizations around the world: "If you run PHP, it is imperative that you update now."

수요일에 보안 패치가 발표되었으며, PHP 재단은 전 세계 기업 및 기관의 기술 부서에 "PHP를 사용 중이라면 즉시 업데이트하는 것이 필수적"이라고 당부했다.

That has resulted in a slew of apps and websites — from the Paris police website to a Pokemon sleep tracker — going dark as developers work to protect their underlying code from hacks.

이로 인해 파리 경찰 웹사이트부터 '포켓몬 슬립(Pokemon Sleep)' 추적 앱에 이르기까지 수많은 앱과 웹사이트가 서비스를 중단했다. 개발자들이 해킹으로부터 기반 코드를 보호하기 위한 조치를 취하고 있기 때문이다.

How did AI find the flaws?

AI는 어떻게 결함을 찾아냈는가?

Cutting-edge AI models, such as those from US giants OpenAI and Google, were used by Wiz and other groups to uncover PHP's weak spots in August.

'위즈(Wiz)'를 비롯한 여러 단체는 지난 8월, 오픈AI(OpenAI)나 구글(Google)과 같은 미국 거대 기술 기업들의 최첨단 AI 모델을 활용해 PHP의 취약점을 발견했다.

This was kept under wraps while a fix was developed.

이 사실은 보안 패치가 개발되는 동안 비공개로 유지되었다.

OpenAI called the flaws "one of the most impactful vulnerabilities in recent memory," adding that it "marks a new phase, where AI can find security bugs with internet-scale impact".

OpenAI는 이번 결함을 "최근 기억할 수 있는 가장 영향력 큰 취약점 중 하나"라고 평가하며, "AI가 인터넷 규모에 영향을 미칠 수 있는 보안 버그를 찾아낼 수 있는 새로운 단계에 진입했음을 의미한다"고 덧붙였다.

Separately to Wiz, security firm Calif found the flaws as part of an OpenAI-funded audit of PHP's code.

보안 기업 Calif는 Wiz와는 별개로, OpenAI의 자금 지원을 받아 진행된 PHP 코드 감사 과정에서 이 결함들을 발견했다.

"The trouble with tools like AI is that the moment all the information's out there, people can weaponize it very, very quickly," Steve Kerrison, senior lecturer in cybersecurity at the Singapore campus of James Cook University, told AFP.

제임스 쿡 대학교 싱가포르 캠퍼스의 사이버 보안 분야 수석 강사인 스티브 커리슨(Steve Kerrison)은 AFP 통신과의 인터뷰에서 "AI와 같은 도구의 문제점은 관련 정보가 공개되는 즉시 누군가가 이를 매우 빠르게 무기화할 수 있다는 것"이라고 설명했다.

"That's why everybody's acting with such urgency to respond to this issue."

"그렇기 때문에 모두가 이 문제에 대응하기 위해 그토록 긴박하게 움직이고 있는 것이다."

Have sites already been hacked?

이미 해킹당한 사이트가 있을까?

"Taking websites offline does not necessarily mean they have been hacked. It can be a responsible measure to protect systems while security updates are applied," said Dimitrios Salampasis from Australia's Swinburne University of Technology.

호주 스윈번 공과대학교의 디미트리오스 살람파시스는 "웹사이트를 오프라인 상태로 전환했다고 해서 반드시 해킹을 당했다는 의미는 아니다"라고 말했다. "이는 보안 업데이트를 적용하는 동안 시스템을 보호하기 위한 책임감 있는 조치일 수 있다."

So far "the evidence that security researchers are seeing is that nobody was actively performing attacks using the techniques available," Kerrison said.

커리슨은 현재까지 "보안 연구원들이 확인한 바로는, 해당 기법을 사용하여 실제로 공격을 수행한 사례는 아직 발견되지 않았다"고 전했다.

Larger institutions, from government agencies to news outlets, should be able to fix their websites relatively quickly — but others may be left vulnerable.

정부 기관부터 언론사에 이르기까지 규모가 큰 조직들은 비교적 신속하게 웹사이트를 수정할 수 있겠지만, 그렇지 못한 곳들은 여전히 취약한 상태로 남아 있을 수 있다.

"There are sites, systems and people out there who will have no idea about this and still won't for days, weeks and months," Kerrison warned.

커리슨은 "이 문제에 대해 전혀 알지 못하는 사이트나 시스템, 그리고 사람들이 여전히 존재하며, 앞으로 며칠, 몇 주, 심지어 몇 달 동안이나 상황을 파악하지 못할 수도 있다"고 경고했다.

That may include user-run blogs that could be used to spread computer viruses, spam people or distribute malicious content.

여기에는 사용자가 운영하는 블로그 등이 포함될 수 있는데, 이러한 사이트들은 컴퓨터 바이러스 유포, 스팸 발송, 또는 악성 콘텐츠 배포에 악용될 위험이 있다.

Could there be other consequences?

다른 결과가 초래될 가능성도 있을까?

A data breach could affect customers in the future if their personal information is used in so-called "phishing" attacks, where someone is tricked into revealing their password to an online service.

데이터 유출이 발생할 경우, 사용자의 개인정보가 이른바 '피싱(phishing)' 공격에 악용될 수 있습니다. 피싱은 사용자를 속여 온라인 서비스의 비밀번호를 스스로 노출하게 만드는 공격 방식이다.

The complex and interlinked nature of online systems, which often use third-party interfaces, means some vulnerabilities could remain even after the problem is fixed.

온라인 시스템은 복잡하게 얽혀 있고 종종 외부(제3자) 인터페이스를 사용하기 때문에, 문제가 해결된 후에도 일부 취약점이 남아 있을 수 있다.

If the third parties use PHP, "then even though you patched yourself ... you're still unsecure," said Rahat Masood, senior lecturer in cyber security at the University of New South Wales, Sydney.

뉴사우스웨일스 대학교(시드니)의 사이버 보안 분야 수석 강사인 라핫 마수드(Rahat Masood)는 "만약 외부 업체가 PHP를 사용하고 있다면, 설령 본인의 시스템에 패치를 적용했더라도 여전히 안전하지 않은 상태일 수 있다"고 지적했다.

PHP isn't everything, however — strong cybersecurity measures should include several layers of defenses, Kerrison said.

하지만 PHP가 전부는 아니다. 강력한 사이버 보안 조치에는 여러 겹의 방어 체계가 포함되어야 한다고 커리슨은 말했다.

#PHP — PHP(웹사이트와 웹 애플리케이션을 구동하는 주요 프로그래밍 언어) #Critical vulnerabilities 치명적인 보안 취약점 #AI-assisted discovery AI를 활용한 취약점 발견 #Remote code execution 원격코드 실행(공격자가 서버에 임의 코드를 실행할 수 있는 위험) #Emergency patch 긴급 보안 패치