[블록미디어 명정선 기자] 웹 개발에 널리 사용되는 프로그래밍 언어 PHP의 치명적인 보안 취약점이 실제 서버 침입으로 이어질 수 있다는 사실이 확인됐다. 비트코인을 보상으로 내건 공개 해킹 실험에서 보안 연구자가 서버에 침입해 저장된 비트코인 지갑의 개인키까지 추출하는 데 성공했다. 다만 서버에 저장된 개인키가 실제 상금 지갑의 개인키와 달라 비트코인이 직접 탈취되지는 않았다.
26일(현지시각) 크립토슬레이트에 따르면 온라인에서 ‘킬라(Killa)’라는 이름으로 활동하는 보안 연구자는 지난 25일 ‘스틸 마이 비트코인(Steal My Bitcoin)’이라는 공개 해킹 실험에서 PHP 서버에 침입해 비트코인 지갑의 개인키를 추출했다.
이번 실험은 지난 21일 공개된 PHP의 치명적인 보안 취약점 2건(CVE-2026-109618·CVE-2026-109619)이 실제 공격에 악용될 수 있는지 확인하기 위해 마련됐다. 해당 취약점은 공격자가 영향을 받는 서버에서 원격으로 코드를 실행할 수 있다는 점에서 위험성이 제기됐다.
초기 해킹 실패했지만…설정 변경하자 3시간 만에 침입
실험 초기에는 공격 성공 사례가 나오지 않으면서 PHP 취약점의 위험성이 과장됐다는 주장도 제기됐다. 그러나 보안 전문가들은 서버 설정 자체가 취약점을 검증하기에 적절하지 않다고 지적했다.
실험 운영자인 제임스 파버(James Pavur)는 당초 PHP 내장 웹서버를 통해 일반 HTML 페이지를 제공했다. 이 때문에 공격자가 취약한 기능에 접근하기 어려웠고 접속 요청이 몰리면서 공격 환경도 제한됐다.
파버는 문제를 인정하고 25일 오후 1시(UTC)께 접근 가능한 PHP 페이지를 추가했다. 이후 오후 3시 47분 38초 공격이 성공했다. 서버 설정을 변경한 지 3시간도 지나지 않은 시점이었다.
파버는 서버 로그를 통해 침입 사실을 확인했다고 밝혔다. 공격자는 이후 깃허브에 공격 재현 코드와 실험 결과를 공개했다.
특히 이번 공격은 단순히 서버에 접근하는 데 그치지 않고 내부에 저장된 비트코인 개인키를 추출했다는 점에서 주목된다. 개인키는 디지털자산 지갑의 자금을 통제하는 핵심 인증정보다. 실제 자산이 보관된 지갑의 개인키가 유출되면 공격자가 해당 자금을 외부로 이전할 수 있다.
다만 이번에는 운영자가 잘못된 개인키를 서버에 저장해 둔 탓에 공격자가 상금으로 걸린 비트코인을 직접 가져가지는 못했다. 운영자는 해킹 성공을 인정하고 약 2000달러 상당의 비트코인을 우승자에게 별도로 지급한 것으로 전해졌다.
AI 해킹 우려 현실화하나…활용 여부는 확인 안 돼
이번 실험은 인공지능(AI)이 소프트웨어 취약점의 발견과 악용을 쉽게 만들 수 있다는 우려 속에서 진행됐다.
모한 페다파티(Mohan Pedhapati) 해크트론 공동창업자는 초기 실험에서 공격이 성공하지 않았다는 이유로 취약점의 위험성을 낮게 평가해서는 안 된다고 경고했다. 잘못 설계된 실험 결과가 기업들의 보안 업데이트를 지연시키는 근거로 사용될 수 있다는 지적이다.
다만 이번 공격에 AI가 어느 정도 관여했는지는 확인되지 않았다. 공개된 자료만으로는 AI가 자율적으로 공격을 수행했는지 판단하기 어렵다.
이번 사례는 PHP 서버의 보안 취약점이 실제 침입과 민감정보 유출로 이어질 수 있음을 보여준다. 특히 디지털자산 거래소와 지갑 서비스처럼 개인키와 인증정보를 관리하는 사업자는 취약한 소프트웨어 사용 여부와 서버 보안 설정을 점검할 필요가 있다는 지적이 나온다.