수요일 사이버보안주가 크게 올랐음. 크라우드스트라이크(CrowdStrike, CRWD)는 5퍼센트 넘게 올라 238달러 안팎이 됐는데, 이유는 두 가지가 겹쳤기 때문임.

하나는 엔비디아와의 협력 확대 발표였고, 다른 하나는 AI가 발견한 PHP2Shell이라는 심각한 보안 결함 소식이었음. 두 소식이 어떻게 연결되는지 보겠음.

먼저 PHP2Shell이 뭔지부터 설명하겠음. PHP는 웹사이트의 서버 쪽 프로그램을 만드는 데 쓰는 오픈소스 프로그래밍 언어로, 워드프레스(WordPress), 드루팔(Drupal), 위키피디아의 미디어위키(MediaWiki) 같은 널리 쓰이는 플랫폼의 바탕이 됨. 서버 쪽 언어가 알려진 웹사이트 가운데 약 70퍼센트가 PHP를 쓴다는 추정이 있음.

PHP2Shell은 이 PHP에서 발견된 두 개의 치명적 취약점, CVE-2026-109618과 CVE-2026-109619를 합쳐 부르는 이름임. 심각도 점수 CVSS 9.2를 받았고, 인증 없이 원격으로 서버에서 임의의 코드를 실행할 수 있다고 알려졌음. 해커가 패치하지 않은 서버를 장악하거나 데이터를 빼돌리거나 프로그램을 설치하거나 방문자를 공격할 수 있다는 뜻임. 5.4 버전까지 거슬러 올라가는 모든 PHP 버전에 영향이 있다는 보도도 있었음.

이 결함이 화제가 된 이유는 발견 과정에 있음. 오픈AI(OpenAI)의 AI 모델을 활용한 보안 업체 캘리프(Calif)와, 구글이 인수한 보안 업체 위즈(Wiz)가 각각 따로 AI의 도움을 받아 이 결함을 찾았고, 8월 말에 발견해서 PHP 재단과 함께 비공개로 수정안을 만든 뒤 10월 21일에 공개했음. 이 취약점은 10년 넘게 코드에 있었는데 2024년에 제한된 형태로 발견됐을 때는 중요하게 여겨지지 않았음. AI가 바꾼 건 그 약점을 이해하고 실제 공격으로 이어지는 연쇄 과정으로 만드는 능력이었다는 게 위즈의 설명임. 위즈는 이번 일이 과거의 하트블리드(Heartbleed) 사태처럼 보안 업계의 전환점이 될 수 있다고 평가했음. 하트블리드는 2014년에 전 세계를 흔든 암호화 소프트웨어 결함이었음.

다만 70퍼센트라는 숫자는 조심해서 읽어야 함. 이는 PHP가 널리 쓰인다는 규모이지 실제로 뚫린 웹사이트 비율이 아님. 실제 노출은 서버가 영향을 받는 버전을 쓰는지, 설정이 어떤지, 관리자가 패치를 설치했는지에 달려 있음. 패치는 PHP 8.5.12를 포함해 8.5, 8.4, 8.3, 8.2 버전에 나왔고, 로이터에 따르면 유럽 일부 정부 웹사이트가 업데이트 때문에 한때 접속이 끊겼음.

그리고 이 사건의 핵심 경고는 패치 이후에 있음. 수정 작업이 약 200개 파일에 1만 줄이 넘는 코드를 건드렸고, 패치가 공개되는 순간 같은 AI 기술이 이 수정 내용을 분석해서 공격 코드를 만들어내는 시간이 극단적으로 짧아질 수 있다는 것임. 패치를 먼저 적용하지 못한 서버는 공격자와 경쟁하게 됨. 보안 전문가 TJ 세이어스(TJ Sayers)는 AI가 오래 묻혀 있던 결함을 찾아내고 복잡한 공격 연쇄를 실제 공격으로 만들 수 있게 한다고 지적했음.

크라우드스트라이크는 이 결함을 찾거나 고치는 데 관여하지 않았음. 그런데도 주가가 오른 건 이 사건이 회사의 주장을 구체적으로 보여줬기 때문임. AI가 버그를 기계 속도로 찾아 무기로 만들 수 있다면 방어도 기계 속도로 작동해야 한다는 것임. 같은 날 크라우드스트라이크는 엔비디아와 AI 에이전트 보안 협력을 확대한다고 발표했음. 자사의 AI 탐지 및 대응(AIDR) 제품인 팔콘 가디언(Falcon Guardian)을 엔비디아의 오픈셸(OpenShell) 보안 실행 환경과 통합했고, 블루필드-4(BlueField-4) 데이터처리장치에서 칩 안에서 정책을 강제하는 엔비디아 센트리(Sentry)와의 통합도 계획 중임. 쉽게 말해 AI 에이전트가 이상한 행동을 하면 소프트웨어 단계뿐 아니라 하드웨어 단계에서도 막겠다는 구상임. 센트리 쪽은 아직 계획 단계라는 점은 알아둬야 함.

투자 관점에서 조심할 점도 있음. 주가가 오른 건 결함 소식과 엔비디아 협력이 겹친 단기 반응에 가깝고, 기술적으로 과매도 구간에서 나온 반등이라는 분석도 있었음. 증권사 평균 목표주가는 약 244달러로 지금 주가와 큰 차이가 없음. 이 사건으로 보안 수요가 늘어도 그 수혜가 크라우드스트라이크에만 가는 건 아님. 위즈를 인수한 구글, 팔로알토 네트웍스 같은 경쟁사가 있고 보안 제품은 구매 결정이 느린 편임. 또 이런 위기 상황에서는 보안 업체 자신의 신뢰도도 같이 시험대에 오름.

앞으로 볼 지점은 두 가지임. 첫째는 PHP2Shell 패치율과 실제 공격 사례가 얼마나 나오는지임. 이 사건이 현실의 피해로 이어지면 보안 지출이 늘 수 있음. 둘째는 크라우드스트라이크의 AI 에이전트 보안 제품이 실제 계약과 매출로 이어지는지임. 이번 사건은 AI가 방어자의 도구이면서 동시에 공격자의 도구라는 점을 가장 선명하게 보여줬음. 버그를 찾는 속도가 빨라진 만큼 패치를 적용하는 속도가 곧 보안의 수준이 되는 시대가 시작됐고, 시장은 그 속도를 파는 회사들에 먼저 반응한 것임.