SK하이닉스가 올해 3분기 영업이익 83조원을 넘기며 사상 최대 실적 행진을 이어갔다. SK하이닉스는 28일 공시에서 연결 기준 올해 3분기 영업이익이 83조 3338억원으로 지난해 동기보다 632.1% 증가한 것으로 잠정 집계됐다고 밝혔다. 매출은 104조 6155억원으로 지난해 동기 대비 327.9% 증가했다. 순이익은 39조 7756억원으로 215.7% 늘었다. 이로써 SK하이닉스는 이번 1개 분기 만에 지난해 전체(97조 1467억원)보다 많은 매출을 기록했다. 또한 지난해 2분기부터 6개 분기 연속으로 매출과 영업익 모두 최고 기록을 경신했다. 올해 들어 3분기까지 누적 매출은 236조 5105억원, 영업익은 181조 4867억원이었다. 글로벌 인공지능(AI) 인프라 확장 속 메모리 수요가 끊이지 않는 가운데, 고대역폭 메모리(HBM)와 서버용 고성능 메모리 제품의 가격 상승세가 이어진 결과로 풀이된다. SK하이닉스는 “AI 메모리 수요 증가로 주요 제품 가격이 상승한 시장 환경 속에서, 회사는 고부가 제품 경쟁력을 바탕으로 매출과 영업이익 모두 또 다시 역대 최대 분기 실적을 기록했다”며 “이런 우호적 여건을 바탕으로 생산능력 확대와 제품 경쟁력 강화에 속도를 높여 지금의 성장 흐름을 이어갈 것”이라고 밝혔다. SK하이닉스는 이날 60조원 규모의 추가 주주환원책도 발표했다. 이날 SK하이닉스는 2026년 회계연도 주주환원 예상 규모가 약 100조원이라고 공시했다. 현금배당 규모가 30조원 이상, 자기주식 취득 및 소각 규모는 60조원 이상이다. 이는 지난 8월 발표한 40조원 규모의 자사주 매입·소각이 포함된 규모다. SK하이닉스는 지난 21일 자사주 매입을 마쳤으며, 이 주식은 곧 소각된다. 3분기 현금배당액은 14조원이며, 자사주 매입액은 20조원이다. SK하이닉스가 매입할 자사주 가운데 주주환원 목적의 10조원은 전량 소각된다. 나머지 약 10조원은 임직원 보상용으로, 주주환원 규모에는 포함되지 않는다. 3분기 배당금은 주당 2만원이다. 실적 개선을 반영한 배당 1만원과 일본 반도체 기업 키옥시아의 지분 매각에 따른 차익을 배당하는 특별배당 1만원으로 구성된다. SK하이닉스는 올해 키옥시아 투자로 실현한 수익의 대부분을 주주에게 돌려주기로 했다고 밝혔다. 배당 기준일은 오는 11월 30일이며 배당금은 기준일로부터 1개월 내 지급 예정이다.

3분기 영업익 107조원 대기록에도반도체에 집중된 수익 구조 ‘과제’우면동 ‘RX 사업추진실’ 현장 방문내년 CES서 공개할 로봇기술 점검AI 산업 가치사슬 전반 영역 확대 이재용 삼성전자 회장이 취임 4주년인 27일 로봇 연구개발 사업 현장을 찾았다. 인공지능(AI) 반도체 호황에 힘입어 3분기 영업이익 107조 4000억원이라는 기록적인 실적을 거둔 가운데, 다음 성장동력으로 로봇 사업을 낙점하고 육성 의지를 다지는 행보로 풀이된다. 분기 영업이익 100조원을 넘어서는 성과에도 반도체에 집중된 수익 구조와 스마트폰·가전 등 완제품 사업의 부진은 여전히 과제로 남아 있다. 반도체에서 확보한 경쟁력을 로봇 등 미래 먹거리로 확장할 수 있을지가 이재용 체제 5년 차의 시험대가 될 전망이다. 업계에 따르면, 이 회장은 이날 서울 서초구 우면동 삼성전자 서울R＆D(연구·개발)캠퍼스의 RX(로보틱스 익스피리언스)사업추진실을 방문해 휴머노이드 로봇 기술력을 점검한 것으로 알려졌다. 지난 7월 해당 조직이 출범한 이후 이 회장이 직접 찾은 것은 처음이다. 삼성전자는 당시 대표이사 직속으로 RX사업추진실을 신설하며 전사에 흩어져 있던 로봇 관련 역량을 결집했다. 삼성전자는 내년 1월 미국 라스베이거스에서 열리는 세계 최대 가전·IT 전시회 ‘CES 2027’에서 로봇 기술의 청사진을 선보일 예정이다. 출품할 자체 휴머노이드 로봇은 사실상 최종 승인 단계만 남겨둔 것으로 알려졌다. 특히 로봇의 팔과 손을 활용해 물체를 집거나 정교한 작업을 수행하는 기술에 관심을 기울이는 것으로 알려졌다. 업계에서는 취임 4주년인 이날 이 회장이 로봇 사업 현장을 찾은 데 대해 주목하고 있다. 이 회장은 취임 당시부터 현재까지 별도의 기념행사를 연 적이 없다. 2022년 회장 취임 당시 별도의 취임사 대신 사내 게시판에 올린 글에서 “세상에 없는 기술에 투자해야 한다. 미래 기술에 우리의 생존이 달려 있다”고 강조했다. 취임 4주년을 맞아 로봇 사업 현장을 찾은 것도 미래 기술 확보와 신사업 육성에 대한 의지를 보여주는 행보로 해석된다. 삼성전자가 로봇 사업에 속도를 내는 배경에는 반도체에 편중된 수익 구조를 다변화해야 한다는 과제를 안고 있기 때문이다. 물론 이 회장 체제에서 삼성전자는 반도체 사업의 경쟁력을 바탕으로 유례없는 실적을 거뒀다. 메모리 반도체 불황으로 2023년 DS(디바이스솔루션) 부문이 14조 8800억원의 영업손실을 기록했지만, AI 시대가 열리면서 고대역폭메모리(HBM)와 서버용 D램 등 고부가 제품 중심으로 사업을 재편하며 반등의 발판을 마련했다. 특히 경쟁사에 주도권을 내줬던 HBM 시장에서 차세대 제품인 HBM4 양산·출하에 나서며 경쟁력 회복에 속도를 냈다. 올해 3분기 잠정 영업이익은 107조 4000억원으로, 글로벌 기업 가운데 처음으로 분기 영업이익 100조원을 돌파했다. 반면, 스마트폰과 가전 등 완제품 사업은 원가 부담과 경쟁 심화로 수익성이 악화하고 있다. 증권가에서는 스마트폰 사업을 담당하는 모바일경험(MX)·네트워크사업부가 3분기 1조~2조원 안팎의 영업손실을 기록하고, TV·생활가전 사업까지 포함한 디바이스경험(DX) 부문 전체 적자 규모는 2조원대에 이를 것으로 전망한다. 2분기에 이어 2개 분기 연속 적자가 예상되는 상황이다. 갤럭시 폴더블 신제품 판매 호조에도 모바일용 메모리 가격 급등으로 제조원가가 치솟은 영향이 컸다. 시스템LSI와 파운드리 등 비메모리 사업도 적자 구조에서 벗어나지 못하고 있다. 삼성전자가 29일 발표할 3분기 확정 실적에서 반도체와 완제품 사업 간 수익성 격차가 어느 정도로 벌어졌는지도 확인될 전망이다. 삼성전자가 반도체를 넘어 AI 생태계 전반으로 사업 영역을 넓히고 있다는 점도 주목된다. 반도체를 공급하는 데 그치지 않고 AI 모델과 연산용 반도체, 데이터센터와 전력·냉각 인프라까지 사업 영역을 넓혀 AI 산업의 가치사슬 전반에 참여하려는 움직임이다. 삼성전자는 지난 9월 프랑스 AI 기업 미스트랄AI의 30억 유로 규모 투자 유치에 주요 투자자로 참여하고, 반도체 설계·제조에 특화한 AI 모델을 공동 개발하기로 했다. 삼성전자와 삼성 계열사 5곳은 미국 AI 인프라 기업 헬릭스에 총 10억 달러도 투자했다. 데이터센터 개발·운영뿐 아니라 발전과 송배전, 광통신망까지 아우르는 인프라 사업으로 영역을 넓히고 있다. 다만 새로운 성장동력을 확보하는 동시에 주력인 반도체의 기술 우위를 지키는 것도 과제다. 중국은 정부의 지원을 바탕으로 메모리 반도체와 파운드리 분야의 기술 경쟁력을 끌어올리며 추격하고 있다. AI 생태계 전반으로 사업을 확장하더라도 핵심인 반도체 경쟁력이 흔들리면 미래 사업에 투자할 기반 역시 약해질 수밖에 없다는 지적이다.

LG이노텍이 올해 3분기 매출액이 분기 기준 처음으로 6조원을 넘어섰지만 영업이익은 환율 변동 여파로 반토막 났다. 고부가 카메라 모듈과 반도체 기판 등의 수요가 견조하게 이어지면서 외형은 성장했지만, 상반기 고환율에 매입한 원재료가 3분기 제품 출하 시점에는 원화 강세로 전환되면서 수익성이 악화됐다. LG이노텍은 연결 기준 올해 3분기 영업이익이 948억원으로 전년 동기보다 53.4% 감소한 것으로 잠정 집계됐다고 27일 공시했다. 순이익은 952억원으로 25.8% 줄었다. 반면 매출액은 6조 3671억원으로 18.6% 증가했다. 3분기 기준 매출이 6조원을 넘어선 것은 이번이 처음으로 역대 최대 규모다. 광학솔루션·패키지솔루션·모빌리티솔루션 등 모든 사업 부문에서 매출이 전년 동기 대비 증가했다. 영업이익 감소의 주요 원인은 환율 변동이었다. LG이노텍은 원재료를 고환율 시점인 올해 상반기에 매입했지만 제품을 양산해 출하한 3분기에는 환율이 급락하면서 영업이익이 감소했다고 설명했다. 사업별로 보면 주력인 광학솔루션 사업 매출은 5조 4041억원으로 20.6% 증가했다. 고객사의 신제품 양산이 본격화되면서 모바일용 고부가 카메라 모듈 공급이 늘었고, 북미 지역 차량용 카메라 공급도 확대됐다. 패키지솔루션 사업 매출은 4818억원으로 10.1% 늘었다. 통신용 주파수 시스템인 RF-SiP와 FC-CSP 등 반도체 기판의 견조한 수요가 이어진 가운데 글로벌 고객사의 PC 중앙처리장치(CPU)용 FC-BGA 공급이 확대된 영향이다. 모빌리티솔루션 사업 매출도 4811억원으로 6.8% 증가했다. LG이노텍은 수익성이 높은 고부가 제품을 중심으로 사업 포트폴리오를 고도화하는 동시에 자율주행과 로봇 등 피지컬 인공지능(AI) 분야를 미래 성장동력으로 육성한다는 계획이다. 패키지솔루션 사업에서는 FC-BGA를 중심으로 고부가 반도체 기판 사업을 강화한다. PC CPU용 FC-BGA 양산에 이어 AI 가속기와 서버용 고다층·대면적 하이엔드 시장에도 2028년까지 단계적으로 진출할 예정이다. 광학솔루션 사업은 인공지능 전환(AX)을 기반으로 공정 자동화와 지능화를 추진해 생산성을 높이고 원가 경쟁력을 강화한다. 모빌리티솔루션 사업에서는 차량 통신·조명 등 고부가 제품군의 경쟁력을 높이는 한편 차량용 애플리케이션프로세서(AP) 모듈과 디지털키 등 신사업 확대에 나선다.

이재용 삼성전자 회장이 취임 4주년인 27일 로봇 연구개발 사업 현장을 찾았다. 인공지능(AI) 반도체 호황에 힘입어 3분기 영업이익 107조 4000억원이라는 기록적인 실적을 거둔 가운데, 다음 성장동력으로 로봇 사업을 낙점하고 육성 의지를 다지는 행보로 풀이된다. 분기 영업이익 100조원을 넘어서는 성과에도 반도체에 집중된 수익 구조와 스마트폰·가전 등 완제품 사업의 부진은 여전히 과제로 남아 있다. 반도체에서 확보한 경쟁력을 로봇 등 미래 먹거리로 확장할 수 있을지가 이재용 체제 5년 차의 시험대가 될 전망이다. 업계에 따르면, 이 회장은 이날 서울 서초구 우면동 삼성전자 서울R＆D(연구·개발)캠퍼스의 RX(로보틱스 익스피리언스)사업추진실을 방문해 휴머노이드 로봇 기술력을 점검한 것으로 알려졌다. 지난 7월 해당 조직이 출범한 이후 이 회장이 직접 찾은 것은 처음이다. 삼성전자는 당시 대표이사 직속으로 RX사업추진실을 신설하며 전사에 흩어져 있던 로봇 관련 역량을 결집했다. 삼성전자는 내년 1월 미국 라스베이거스에서 열리는 세계 최대 가전·IT 전시회 ‘CES 2027’에서 로봇 기술의 청사진을 선보일 예정이다. 출품할 자체 휴머노이드 로봇은 사실상 최종 승인 단계만 남겨둔 것으로 알려졌다. 특히 로봇의 팔과 손을 활용해 물체를 집거나 정교한 작업을 수행하는 기술에 관심을 기울이는 것으로 알려졌다. 업계에서는 취임 4주년인 이날 이 회장이 로봇 사업 현장을 찾은 데 대해 주목하고 있다. 이 회장은 취임 당시부터 현재까지 별도의 기념행사를 연 적이 없다. 2022년 회장 취임 당시 별도의 취임사 대신 사내 게시판에 올린 글에서 “세상에 없는 기술에 투자해야 한다. 미래 기술에 우리의 생존이 달려 있다”고 강조했다. 취임 4주년을 맞아 로봇 사업 현장을 찾은 것도 미래 기술 확보와 신사업 육성에 대한 의지를 보여주는 행보로 해석된다. 삼성전자가 로봇 사업에 속도를 내는 배경에는 반도체에 편중된 수익 구조를 다변화해야 한다는 과제를 안고 있기 때문이다. 3분기 영업이익 100조 시대 열어…반도체 넘어 AI 생태계 전반 사업 영역 확장물론 이 회장 체제에서 삼성전자는 반도체 사업의 경쟁력을 바탕으로 유례없는 실적을 거뒀다. 메모리 반도체 불황으로 2023년 DS(디바이스솔루션) 부문이 14조 8800억원의 영업손실을 기록했지만, AI 시대가 열리면서 고대역폭메모리(HBM)와 서버용 D램 등 고부가 제품 중심으로 사업을 재편하며 반등의 발판을 마련했다. 특히 경쟁사에 주도권을 내줬던 HBM 시장에서 차세대 제품인 HBM4 양산·출하에 나서며 경쟁력 회복에 속도를 냈다. 올해 3분기 잠정 영업이익은 107조 4000억원으로, 글로벌 기업 가운데 처음으로 분기 영업이익 100조원을 돌파했다. 반면, 스마트폰과 가전 등 완제품 사업은 원가 부담과 경쟁 심화로 수익성이 악화하고 있다. 증권가에서는 스마트폰 사업을 담당하는 모바일경험(MX)·네트워크사업부가 3분기 1조~2조원 안팎의 영업손실을 기록하고, TV·생활가전 사업까지 포함한 디바이스경험(DX) 부문 전체 적자 규모는 2조원대에 이를 것으로 전망한다. 2분기에 이어 2개 분기 연속 적자가 예상되는 상황이다. 갤럭시 폴더블 신제품 판매 호조에도 모바일용 메모리 가격 급등으로 제조원가가 치솟은 영향이 컸다. 시스템LSI와 파운드리 등 비메모리 사업도 적자 구조에서 벗어나지 못하고 있다. 삼성전자가 29일 발표할 3분기 확정 실적에서 반도체와 완제품 사업 간 수익성 격차가 어느 정도로 벌어졌는지도 확인될 전망이다. 삼성전자가 반도체를 넘어 AI 생태계 전반으로 사업 영역을 넓히고 있다는 점도 주목된다. 반도체를 공급하는 데 그치지 않고 AI 모델과 연산용 반도체, 데이터센터와 전력·냉각 인프라까지 사업 영역을 넓혀 AI 산업의 가치사슬 전반에 참여하려는 움직임이다. 삼성전자는 지난 9월 프랑스 AI 기업 미스트랄AI의 30억 유로 규모 투자 유치에 주요 투자자로 참여하고, 반도체 설계·제조에 특화한 AI 모델을 공동 개발하기로 했다. 삼성전자와 삼성 계열사 5곳은 미국 AI 인프라 기업 헬릭스에 총 10억 달러도 투자했다. 데이터센터 개발·운영뿐 아니라 발전과 송배전, 광통신망까지 아우르는 인프라 사업으로 영역을 넓히고 있다. 다만 새로운 성장동력을 확보하는 동시에 주력인 반도체의 기술 우위를 지키는 것도 과제다. 중국은 정부의 지원을 바탕으로 메모리 반도체와 파운드리 분야의 기술 경쟁력을 끌어올리며 추격하고 있다. AI 생태계 전반으로 사업을 확장하더라도 핵심인 반도체 경쟁력이 흔들리면 미래 사업에 투자할 기반 역시 약해질 수밖에 없다는 지적이다.

- 개발·출시·운영 단계로 구성한 게임사 대상 클라우드 기술 지원 패키지 선보여- 현장 부스서 게임 인프라 1대1 기술 상담 및 방문객 경품 이벤트 진행 클라우드 AI MSP 스마일샤크(대표 장진환)가 지난 10월 27일 경기 성남 더블트리 바이 힐튼 서울 판교에서 열린 아마존웹서비스(Amazon Web Services, 이하 ‘AWS’) 주최 ‘Games on AWS 2026’에 부스로 참가했다고 28일 밝혔다. 올해로 13주년을 맞은 ‘Games on AWS’는 AWS가 게임 개발자와 비즈니스 종사자를 대상으로 개최하는 게임 산업 특화 클라우드 콘퍼런스다. AWS는 게임의 개발·출시·운영 전 단계를 아우르는 클라우드 및 AI 서비스를 통해 글로벌 게임사들의 성장을 지원하고 있으며, 이번 행사는 기조연설(키노트)과 3개 트랙 세션으로 나뉘어 진행됐다. 스마일샤크는 이번 행사 부스에서 게임 서비스의 준비·출시·운영 단계별로 필요한 클라우드 기술 지원 내용을 중점적으로 소개했다. 게임 서비스는 사전 예약, 정식 출시, 대규모 업데이트 시점마다 접속자가 집중돼 시기별 트래픽 편차가 크다. 스마일샤크는 이러한 산업 특성을 고려해 AWS 기반 아키텍처 설계와 인프라 구축, 동시 접속 상황을 가정한 부하 테스트(Load Test), 론칭 당일 집중 모니터링, 출시 이후 안정화 운영까지 이어지는 단계별 지원 범위를 안내했다. 현장 부스에서는 참관객이 현재 운영 중이거나 출시를 준비 중인 게임의 장르와 서비스 단계를 바탕으로 1대1 맞춤형 기술 상담을 진행했다. 상담은 AWS 도입 방향, 출시 준비 일정, 인프라 운영 비용 최적화 관리 등을 중심으로 이뤄졌으며, 부스 방문객을 대상으로 한 룰렛 경품 이벤트도 함께 운영됐다. 장진환 스마일샤크 대표는 “게임은 사전 예약 규모만으로 오픈 당일 접속량을 가늠하기 어려워, 출시 전 부하 테스트로 서버 한계치를 확인하고 증설 기준을 세워두는 준비가 서비스 안정성을 좌우한다”며 “게임사가 개발과 라이브 서비스 운영에 집중할 수 있도록 출시 준비부터 오픈 이후 운영까지 단계별 기술 지원을 이어가겠다”고 말했다.

- TuxCare(턱스케어) 국내 독점 총판…지원 종료 PHP 환경의 보안 유지 방안 제시- PHP2Shell 취약점 2건 대응 패치 제공…상위 버전 전환 어려운 기업의 대응 지원- 추가 발견된 취약점은 별도 점검 필요…패치 적용부터 실행 환경 확인까지 강조 AI·ICT 전문기업 쿠도커뮤니케이션(대표 김용식)은 국내 독점 총판을 맡고 있는 글로벌 오픈소스 보안 전문기업 TuxCare(턱스케어)의 PHP 보안 지원 솔루션을 통해, 지원 종료(EOL) PHP를 운영하는 국내 기업의 보안 공백을 줄이기 위한 대응 방안을 제시한다. 최근 웹서비스 개발에 널리 사용되는 PHP에서 원격 코드 실행으로 이어질 수 있는 ‘PHP2Shell’ 취약점이 공개되면서 기업과 기관의 신속한 보안 업데이트 필요성이 커지고 있다. 이후 별도의 신규 취약점까지 추가로 확인되면서, 기존 패치 적용 여부뿐만 아니라 운영 환경과 서버 설정에 대한 지속적인 점검도 요구되고 있다. 특히 공식 지원이 종료된 구버전 PHP를 사용하는 기업은 보안 업데이트와 안정적인 서비스 운영을 함께 고려해야 하는 과제를 안고 있다. 기존 애플리케이션이나 확장 모듈과의 호환성 문제로 인해 상위 버전 전환에 상당한 시간이 소요될 수 있으며, 시스템 운영을 외부 업체에 위탁한 경우에는 실제 사용 중인 PHP 환경과 패치 적용 여부를 확인하는 과정도 뒷받침돼야 한다. 이에 대해 턱스케어는 연장 수명 주기 지원 솔루션인 ‘ELS(Endless Lifecycle Support) for Runtimes’를 통해 지원 종료 PHP를 포함한 대상 환경에 지속적인 보안 업데이트를 제공하고 있다. 이번에 문제가 된 PHP2Shell 취약점인 ‘CVE-2026-109618’과 ‘CVE-2026-109619’에 대해서도 보안 수정사항을 반영한 PHP 패키지를 지원한다. 솔루션의 핵심은 기존 버전 계열을 유지한 채 최신 보안 수정사항만 반영하는 ‘백포트(Backport)’ 방식이다. PHP 상위 버전으로 즉시 전환하기 어려운 기업도 지원 대상 환경에서는 보안 수정사항이 적용된 패키지를 활용해 취약점에 신속히 대응하고, 동시에 애플리케이션 호환성 검증과 단계적인 업그레이드를 안정적으로 준비할 수 있다. 다만 실제 적용 가능 여부는 운영체제(OS), PHP 버전, 패키지 구성 및 사용 중인 확장 모듈에 따라 사전 확인이 필요하다. 아울러 기존 PHP2Shell 대응과 이후 추가로 공개된 신규 취약점은 구분해 접근해야 한다. 한국인터넷진흥원(KISA)은 지난 10월 24일 보안 공지를 통해 신규 취약점인 ‘CVE-2026-115560’이 특정 세션 설정 조합에서 발생할 수 있으며, 앞서 10월 21일 배포된 PHP 보안 업데이트만으로는 해결되지 않는다고 안내했다. KISA는 해당 공지에서 영향을 받는 환경에 대해 파일 업로드 진행 상황 추적 기능을 비활성화하고 모든 PHP 작업 프로세스를 재시작하는 임시 조치를 권고했다. 따라서 일선 기업에서는 자사의 PHP 사용 여부와 버전, 패키지 공급 경로를 우선 파악하고 각 운영 환경에 맞는 보안 업데이트와 추가 조치 사항을 확인하는 과정이 요구된다. 패키지 업데이트 이후에는 실제 웹서비스를 처리하는 PHP 프로세스에 수정사항이 정상적으로 반영됐는지 검증하고, 기존 침해 흔적 여부도 함께 점검해야 한다. 외부 웹호스팅 서비스를 이용하는 기업 역시 운영업체에 자사 서비스의 취약점 영향 여부와 보안 조치 완료 여부를 확인할 필요가 있다. 쿠도커뮤니케이션은 턱스케어의 국내 공식 총판사로서 국내 기업에 관련 솔루션을 공급하고 있으며, 이번 보안 이슈를 계기로 지원 종료 소프트웨어의 보안 유지관리 필요성과 기업 환경에 맞춘 PHP 취약점 대응 방안을 적극 알린다는 계획이다. 구대완 턱스케어 한국지사 대표는 “기업 현장에서는 기존 서비스와의 호환성, 운영 영향 등을 고려해야 하기 때문에 PHP 상위 버전으로 즉시 전환하기 어려운 경우가 있다”며 “중요한 것은 전환을 준비하는 동안에도 보안 업데이트가 이어질 수 있도록 지원 체계를 확보하는 것”이라고 말했다. 이어 “사용 중인 PHP 환경과 취약점별 대응 여부를 정확히 확인하고, 긴급 보안 조치와 중장기 업그레이드 계획을 함께 추진해야 한다”고 강조했다.

압축 풀 때 서버 중단·해킹 위험 쇼핑몰 등 영향… 업데이트 권고 전 세계 웹사이트에서 널리 사용하는 프로그래밍 언어 ‘PHP’에 이어 서버 운영에 쓰이는 ‘Node.js’에서도 심각한 보안 취약점이 발견됐다. 해커가 이를 악용하면 비밀번호 없이도 외부에서 서버를 멈추거나 악성 프로그램을 실행할 수 있다. 보안 문제를 해결한 업데이트가 나왔지만, 이를 적용하지 않은 서버는 여전히 공격에 노출될 수 있어 주의가 필요하다. 26일 보안업계에 따르면 Node.js 개발진은 지난 21일 데이터 압축을 해제하는 기능에서 취약점을 확인하고 보안 패치를 배포했다. Node.js는 인터넷 쇼핑몰이나 각종 온라인 서비스에서 이용자의 요청을 처리하는 서버를 개발할 때 쓰이는 소프트웨어다. 이번 취약점은 서버가 외부에서 받은 압축 데이터를 풀어내는 과정에서 발생한다. 해커가 특수하게 조작한 데이터를 보내면 서버가 갑자기 멈추거나 악성 코드를 실행할 수 있다. 다만 서버의 설정과 데이터 처리 방식에 따라 실제 공격 가능성은 달라진다. 취약점을 발견한 곳은 오픈AI의 인공지능(AI) 코덱스 보안팀이다. 오픈AI는 AI 모델이 보안 통제를 우회할 가능성을 시험하는 과정에서 널리 쓰이는 데이터 압축 기술인 ‘브로틀리’의 결함을 찾아냈다. 브로틀리는 Node.js뿐 아니라 다양한 소프트웨어에서 사용하는 기술이다. Node.js 개발진은 취약점의 위험도를 ‘높음’으로 평가하고 이를 수정한 새 버전을 공개했다. 한국인터넷진흥원(KISA)도 사용자들에게 최신 버전으로 업데이트할 것을 권고했다. 국내 보안업체 티오리는 이날 취약점을 자체 검증하고, 인터넷 주소만 입력하면 노출 위험을 무료로 확인할 수 있는 ‘Node.js 가드’ 서비스를 선보였다.

- GPU 활용 효율 높이는 AI 추론 최적화 전략… 서비스 성능 개선 방안 제시- ‘콘체르토 AI’ 분산 추론 기술로 동일 GPU 환경서 처리량 62.8% 향상- 넷앱 스토리지 연계로 AI 모델 가중치 로딩 시간 71초에서 8초로 단축 인공지능(AI) 인프라 소프트웨어 전문 기업 오케스트로(대표 김범재·김영광)가 그래픽처리장치(GPU) 활용도를 높이고 AI 서비스 성능을 개선하기 위한 추론 인프라 최적화 전략을 공개한다. 오케스트로는 오는 10월 27일 오후 2시 ‘AI 서비스 성능 개선, GPU부터 더 사야 할까?’를 주제로 온라인 웨비나를 개최한다고 26일 밝혔다. 최근 생성형 AI가 산업 전반으로 확산되면서 모델 학습뿐만 아니라 추론(Inference)과 실제 서비스 운영의 중요성이 커지고 있다. 기업들이 GPU 확보에 투자를 늘리고 있지만, 실제 AI 서비스 운영 과정에서는 낮은 GPU 활용률과 응답 지연, 비용 부담 등의 과제가 여전히 남아 있다. 특히 에이전틱 AI(Agentic AI)가 확산되면서 하나의 작업을 수행하기 위해 AI 모델을 여러 차례 호출하는 사례가 늘고 있다. 이 과정에서 입력 처리와 답변 생성이 동일한 GPU 자원을 사용하면 작업 간 경합이 발생해 응답이 지연될 수 있다. 이를 해결하기 위해서는 추론 과정의 병목 현상을 줄이고 GPU 자원을 효율적으로 운영하는 기술이 요구된다. 이번 웨비나에서는 AI 추론 인프라의 주요 당면 과제를 살펴보고, 오케스트로의 ‘콘체르토 AI(CONCERTO A.I.)’를 활용한 분산 추론 및 GPU 자원 최적화 방안과 실제 성능 검증 결과를 소개할 예정이다. ‘콘체르토 AI’는 대규모 언어모델(LLM)의 입력 처리(Prefill)와 답변 생성(Decode) 단계를 분리해 GPU 자원 간 경합을 줄이고 추론 성능을 최적화하는 AI 추론 운영 플랫폼이다. 복잡한 추론 인프라의 구축과 배포를 자동화하고, 성능 모니터링 기능을 통합 제공해 AI 서비스의 운영 효율을 높인다. 성능 검증 결과, 콘체르토 AI는 기존 모델 서빙 방식과 동일한 GPU 자원을 사용하면서도 고부하 환경에서 처리량을 62.8% 높이고, 토큰 생성 지연을 52.1% 줄인 것으로 나타났다. 이와 함께 넷앱(NetApp)의 스토리지 기술을 연계한 AI 인프라 최적화 성과도 공개한다. GPU 다이렉트 스토리지(GPUDirect Storage, GDS) 기반 KV 캐시 오프로딩으로 GPU 메모리 부담을 줄이고 동시 사용자 처리 효율을 높인 사례를 소개한다. 모델 로딩 최적화를 통해 AI 모델 가중치 로딩 시간을 기존 71초에서 8초로 줄였으며, 기동 과정 최적화로 신규 서버의 서비스 투입 시간도 187초에서 80초로 단축했다. 오케스트로는 콘체르토 AI를 통해 기업의 AI 서비스 개발부터 운영까지 지원하고, 인프라 운영 효율을 높여갈 계획이다. 추론 최적화를 기반으로 AI 개발 환경과 모델 운영·관리, 통합 모니터링까지 기능을 확장하고, 엔비디아 GPU와 국산 NPU 등 다양한 하드웨어를 지원해 기업의 독립적인 AI 인프라 운영도 뒷받침할 방침이다. 오케스트로 그룹은 소버린 AI 인프라 분야에서도 협력을 확대하고 있다. 계열사인 오케스트로 클라우드는 퓨리오사AI, 업스테이지 등 4개 사와 업무협약(MOU)을 체결하고, 국산 NPU 기반 ‘소버린 AI 풀스택 어플라이언스’ 공동 개발을 추진하고 있다. 웨비나는 10월 27일 오후 2시부터 올쇼TV를 통해 온라인으로 진행된다. 참가비는 무료이며, 사전 등록 후 참여할 수 있다. 김범재 오케스트로 대표는 “AI 시대에는 GPU를 얼마나 많이 확보하느냐보다 보유한 자원의 성능을 최대한 끌어내는 운영 역량이 중요해지고 있다”며 “이번 웨비나에서는 콘체르토 AI의 기술력과 성능 검증 결과를 공유하고, 기업들이 GPU 투자 효과를 높이고 AI 서비스를 안정적으로 운영할 수 있도록 실질적인 해법을 제시하겠다”고 말했다.

지난 7월 중국 문샷 AI가 ‘키미 K3’를 발표하면서 업계를 충격에 빠뜨렸습니다. 2.8조개의 파라미터를 지닌 프런티어급 대형 모델을 무료로 공개했을 뿐 아니라, 성능 면에서도 서구 프런티어 모델을 거의 따라잡았기 때문입니다. 하지만 더 논란이 된 부분은 미국 프런티어 모델을 ‘증류’(distillation)를 통해 성능을 높였다는 점이었습니다. 증류 자체는 인공지능(AI) 거대언어모델(LLM) 개발에서 흔히 사용되는 방법입니다. 거대한 파라미터를 지닌 대형 모델을 선생 모델로 삼아 더 작고 효율적인 모델을 만드는 기법으로, 일반 사용자에게 배포되는 소형 모델 상당수가 이런 방식으로 만들어집니다. 그러나 오픈 AI와 앤트로픽이 문제 삼은 것은 문샷 AI가 무단으로 프런티어 모델의 답변 내용을 가져와 학습에 활용했다는 점이었습니다. 미국 모델의 능력을 무단으로 학습해 더 저렴한 가격으로 서비스하는 행위로 비판받은 것입니다. 이에 대응하기 위해 앤트로픽은 최근 방어 체계를 강화해 증류로 추출되는 추론 토큰을 이전 대비 10~100배, 데이터 수확량을 90~99% 줄였다고 발표했습니다. 하지만 지난 23일 공개된 키미 K3.1 프로의 성능을 보면, 이 같은 차단 시도만으로는 중국 모델의 성장을 막기 어렵다는 점이 드러납니다. 키미 K3.1 프로의 벤치마크 결과를 보면, 자원이 제한된 실제적인 터미널 작업을 과제별 엄격한 테스트로 평가하는 ‘Terminal-Bench 4.0’에서 65.7%를 기록해 클로드 오푸스 5.5(66.4%)에 근접했고, GPT-6 아스트라(58.2%)보다 높은 점수를 냈습니다. 실제 금융 문서를 대상으로 검색·문서 간 교차 검증·다단계 수치 추론을 수행하는 ‘OfficeQA Pro v2’에서는 64.4점으로 최고 성적을 기록했습니다. 종합 지능 평가 지수인 ‘Artificial Analysis Intelligence Index’에서도 55점을 기록하며 GPT-6 아스트라와 클로드 페이블 5.1(각각 53점)을 앞서 4위를 차지했습니다. 11월 4일 가중치가 공개되면 현재 가장 강력한 오픈 웨이트 모델이 될 전망입니다. 사실 이는 어느 정도 예측된 결과이기도 했습니다. 처음부터 2.8조개의 파라미터를 지닌 모델을 증류만으로 만들 수는 없습니다. 모델의 크기가 커지고 성능이 높아질수록 프런티어급 모델 개발에서는 증류보다 사후 학습과 강화 학습(RL)이 더 중요해지기 때문입니다. 키미 K3.1 프로가 성능을 더 높인 비결은 한정된 연산 자원을 훨씬 효율적으로 사용해 사후 학습을 강화한 데 있습니다. 중국 AI 기업들은 미국에 비해 매우 제한된 AI 연산 자원을 보유하고 있어, 같은 방식으로 미국 프런티어 모델의 학습 수준을 따라가기 어렵습니다. 문샷 AI는 Kimi Delta Attention(KDA), NoPE, MXFP4/8 양자화, MoE 구조 등 여러 가지 기법을 활용해 제한된 하드웨어에서도 성능을 극대화했습니다. 그런데 이렇게 상대적으로 낮은 하드웨어에서도 서방 프런티어 모델에 근접한 성능을 내도록 개발된 덕분에 비용을 낮출 수 있는 것은 물론, 모델을 다운로드해 내부 서버에서 운영할 때 기업들의 부담도 훨씬 적습니다. 이것이 역설적으로 중국 모델의 큰 장점이 되고 있습니다. 키미 K3.1 프로의 서비스 가격은 입력·출력·캐시 적중 토큰 100만 건당 각각 2달러·10달러·0.20달러로, 키미 K3보다 세 가지 요금 모두 33% 저렴합니다. 저렴한 가격과 높은 성능, 그리고 모델 공개라는 무기로 서방 프런티어 AI 모델을 위협하는 중국 AI 모델에 대응하기 위해서는 증류를 막는 것만으로는 부족합니다. 서방 오픈 모델을 강화하고 효율성을 대폭 끌어올리는 것이 실질적인 대안이 될 수 있습니다.

262억원 들여 AI 관제 체계 마련CCTV 잡힌 이상 상황 2차 검증침수·포트홀·녹조 대응 등에 활용정서·생활 살피는 돌봄로봇 대여AI 통합당직·버스정보에도 도입“시민들이 변화 체감하도록 할 것” 충북 청주가 ‘똑똑한 도시’로 탈바꿈한다. 청주시가 안전과 복지, 교통 등 다양한 행정 영역에 인공지능(AI)을 접목하고 있어서다. 행정의 효율성과 대응력이 대폭 향상되면서 그동안 경험하지 못한 스마트한 일상이 주민들 앞에 펼쳐질 전망이다. 청주시는 AI를 도시 혁신의 핵심 수단으로 잡고 적극적인 AI 정책을 추진한다고 25일 밝혔다. 안전 분야에선 생성형 AI VLM(Vision-Language Model)을 활용한 도시안전시스템 시범사업이 추진된다. AI가 폐쇄회로(CC)TV에 잡힌 이상 상황의 전과 후를 모두 분석하는 등 실시간 발생한 상황을 2차 검증하는 것이다. 이를 통해 폭행, 싸움, 쓰러짐, 침수 등 이상 상황을 정확하게 판단해 관제요원에게 알려준다. 시 관계자는 “전후 상황을 고려하지 않고 장면 하나만을 AI가 판단하면 오탐이 자주 일어난다”며 “이 시스템이 도입되면 안전 위협 상황을 정확하게 인지해 효율적인 대응이 가능해질 것”이라고 기대했다. 시는 이 사업을 위해 2030년까지 총 262억원을 투입해 CCTV 8000대의 영상을 AI가 분석할 수 있는 관제 체계를 마련할 계획이다. 카메라를 교체하는 게 아니라 관제센터 서버에 기존 CCTV 영상을 AI가 분석할 수 있는 환경을 구축하는 방식이다. 2027년부터 2030년까지 매년 2000대씩 단계적으로 적용할 예정이다. 이미 1500대는 AI 관제 체계가 도입돼 2030년이 되면 AI가 분석하는 CCTV가 총 9500대로 늘어난다. 올해 말까지 설치되는 새 CCTV까지 모두 합하면 시가 관리하는 CCTV는 1만1000대에 달한다. 이 가운데 단순한 시설물 관리를 위한 CCTV를 제외하면 이상 상황 인식이 필요한 CCTV 대부분에 적용되는 셈이다. AI를 활용해 도시침수에 대응할 수 있는 CCTV도 구축된다. 지하차도 및 저지대 도로의 침수 징후를 조기에 관제요원에게 알려줘 인명과 재산 피해를 예방할 수 있다. 2023년 7월 14명이 숨지는 참사가 발생한 오송 궁평2지하차도 등 5곳에 설치될 예정이다. 시는 도로 위험도 AI로 관리한다. 지난해부터 관용차량과 교통약자 이동지원 차량 등에 AI 카메라를 설치해 도로 파임 등 위험 요소를 실시간으로 수집하고 있다. 사이버 위협과 수돗물 안전에도 AI와 데이터를 활용한다. 시는 10억원을 투입해 2027년까지 사이버침해 대응센터를 조성하고 2028년까지 각종 보안 위협을 학습·분석하는 자체 AI 모델을 개발할 계획이다. 이를 통해 실시간 감시체계 확보와 보안취약점 제로화에 도전한다. 대청호 녹조 대응을 위해 내년에는 지북정수장에 AI를 활용한 실시간 조류 농도 분석기와 감시 시스템을 설치한다. 축적된 분석자료를 정수장 운영에 활용해 수돗물 안전관리 체계를 고도화하는 것이 목표다. AI 활용은 돌봄 현장으로도 확대된다. 시는 과학기술정보통신부의 ‘정서고립 선제감지 및 적시개입 에이전틱 AI 기술개발사업’에 실증 기관으로 참여한다. AI 캐릭터와 일상적인 대화를 나누는 과정을 통해 이용자의 정서와 생활 변화를 살피고 위험 신호가 감지되면 필요한 안내와 전문기관 연계 등으로 이어지도록 하는 기술을 개발·실증하는 사업이다. 시는 50~64세 1인 가구를 대상으로 2027년 30명, 2028년 100명의 실증을 지원할 계획이다. 시는 지난 7월부터 홀로 사는 어르신 등을 대상으로 한 AI 돌봄로봇 ‘초롱이’ 대여 사업도 진행 중이다. 관내 4개 보건소가 25대씩 돌봄로봇을 확보해 신청자들에게 내년 6월까지 무상 대여하고 있다. 돌봄로봇은 말동무, 약 복용 시간 알림, 음악 틀어주기 등 일상생활을 지원한다. 시 관계자는 “이사를 가거나 요양원에 입소하는 경우 초롱이를 반납해 현재 90% 이상이 대여 중에 있다”며 “어르신들의 정서적 안정 등에 도움이 된다”고 설명했다. 시는 AI 통합당직도 도입한다. 야간과 휴일에 접수되는 단순·반복 민원은 AI가 안내하고 당직자는 재난·사고 등 긴급 상황만 처리하는 것이다. 시는 내년 2월부터 4월까지 시범 운영 및 문제점을 보완한 뒤 5월부터 시·구청 AI 통합당직을 본격 운영한다는 계획이다. AI 통합당직이 시행되면 구청은 당직사령이 사라지고 당직원 1명, 운전원 1명, 청원경찰 1명으로 당직 인원이 축소된다. 단순 민원을 AI가 처리해 당직자의 긴급 상황 대응력이 강화될 수 있다. 당직 근무자 감소로 인해 평일 대체 휴무자가 줄어 대시민 서비스 향상도 기대된다. 당직 부담 완화로 직원들의 근무환경 개선과 조직 활력도 제고할 수 있다. 대중교통에는 AI 기반 버스정보시스템을 도입한다. AI와 빅데이터를 활용해 버스 위치와 도착 예정 시간의 정확도를 높이는 초정밀 버스 위치정보시스템을 내년에 구축하고 2028년 시범 운영을 거쳐 확대해 나갈 계획이다. 시스템이 마련되면 버스 위치정보 수집 주기가 현재 15초에서 2~3초로 짧아진다. 2028년에는 정류장에 설치된 AI 카메라가 승객이 기다리고 있다는 것을 버스 운전자에게 알려주는 대기승객 알림시스템을 갖춘다. 도심 외곽지역에서 발생할 수 있는 무정차 운행을 막을 수 있다. 2029년 시범 운영을 거쳐 2030년 확대한다는 구상이다. 시민이 AI를 직접 배우고 활용할 수 있는 기반도 마련된다. 시는 충북시청자미디어센터와 협조해 1인 창작에 특화된 미디어창작소를 권역별로 구축할 계획이다. 이를 통해 시민들은 누구나 실시간 라이브 방송, 녹화 영상 촬영 등 콘텐츠 기획·제작에 참여할 수 있다. 시는 AI 정책의 컨트롤타워 역할을 할 전담팀도 만든다. 정보통신과에 소속될 전담팀은 AI 전략 기본계획 수립, AI 사업 발굴과 조정 등 시의 AI 정책 전반을 총괄하게 된다. 시는 관련 행정절차를 거쳐 이달 중 조직 정비를 마무리할 예정이다. 시 관계자는 “생활과 밀접한 분야의 AI 사업을 적극 추진해 시민들이 변화를 체감할 수 있도록 하겠다”며 “청주시가 AI 선도 지방자치단체가 될 것”이라고 말했다.

글로벌 정보기술(IT) 솔루션 협력사의 보안 허점을 파고든 외부 해킹으로 인해 대한항공 고객들의 예약 정보가 수년간 무단 노출된 것으로 드러났다. 23일 머니투데이, 뉴스1 등에 따르면 대한항공은 최근 개인정보 유출 피해를 본 이용자들을 대상으로 이 같은 사실을 개별 안내하며 후속 조치에 나섰다. 이번 사고는 대한항공의 자체 서버가 아닌 항공 예약 시스템을 운영하는 스페인 기업 아마데우스(Amadeus IT Group, S.A.)의 시스템에서 발생했다. 대한항공 측은 “외부 수탁사인 아마데우스 시스템 계정의 로그인 인증 정보가 무단 도용되면서 비인가 접근이 이뤄진 것으로 파악된다”고 했다. 정확한 유출 시점은 추가 조사가 진행 중이나, 사측은 2023년 8월부터 2026년 9월 사이에 정보가 노출된 것으로 추정하고 있다. 대한항공은 지난 20일 오후 10시 44분쯤 아마데우스 측으로부터 관련 사실을 공식 통보받고 즉각 보안 조치에 착수했다고 밝혔다. 이어 자사 내부 데이터베이스(DB)를 대상으로 긴급 점검을 벌인 결과, 대한항공 자체 시스템에 대한 직접적인 해킹이나 침해 정황은 발견되지 않았다고 했다. 현재까지 확인된 유출 정보에는 고객의 항공권 예약번호가 포함된 것으로 나타났다. 다만, 예약번호 외에 추가로 빠져나간 개인정보 항목이 있는지 여부는 아마데우스 측과 함께 정밀 확인을 진행 중인 것으로 전해졌다.

6·3 지방선거 투표용지 부족 사태 등을 수사하는 이태한 선거관리위원회 특별검사가 중대범죄수사청(중수청)을 예방해 수사 인력 파견을 요청했다. 이 특검은 23일 오후 2시 50분쯤 중수청 본청에서 “중수청의 도움을 받고자 방문했다”며 예방 취지를 밝혔다. 그는 “특검의 수사 범위가 상당히 넓다”며 “현재 중앙선거관리위원회 선거 관리 시스템 서버 포렌식을 한 달 이상 계속하는 등 기초수사에 상당한 시간이 소요되고 있다”고 설명했다. 이 특검은 “포렌식, 특히 데이터베이스 분석하는 포렌식 인원 상당히 부족한 상황이어서 (해당 분야) 인원 특파를 요청했다”며 “예정된 주요 압수수색에서 중수청의 우수한 포렌식 인원에 대해 수시로 수사 지원을 요청드릴 예정”이라고도 했다. 중수청 인원도 부족하다는 지적에 대해서는 특검팀의 경우 수사 기간이 한정돼 있고 각종 선관위 의혹에 대한 사실규명이 필요한 상황이라며 인력 파견을 호소했다. 선관위 특검이 요청한 10명 중 압수수색 및 디지털 포렌식, 데이터베이스(DB) 분석 등 실무에 즉시 투입될 전문 수사 인력은 6명인 것으로 알려졌다. 선관위 특검법 제7조에 따르면 특별검사는 수사를 위해 중대범죄수사청 등 관계 기관의 장에게 소속 공무원의 파견을 요청할 수 있으며, 요청을 받은 기관장은 정당한 사유가 없으면 이에 응해야 한다. 특히 기관장이 정당한 사유 없이 불응할 경우 특별검사는 징계절차 개시를 요청할 수 있도록 명시하고 있다. 중수청은 인력 파견에 대해 ‘협의 중’이라는 입장이지만, 내부적으로는 고심이 깊은 것으로 알려졌다. 총정원 2874명의 66.1%인 1900명으로 개청한 만큼 만성 인력부족에 시달리고 있는 상황에서 추가 파견으로 일손이 부족해질 수 있는 까닭이다. 특히 아직 조직이 완전히 갖춰지지 않은 상황에서 파견 등으로 인력이 빠져나갈 경우 조직 안정에도 부정적인 영향을 미칠 수 있을 것이란 지적이다. 중수청 관계자는 “인력이 부족한 상황인데, 수사에 파견까지 보내야 하는 상황”이라고 말했다.

매주 금요일 [주간 여의도 Who?]가 온라인을 통해 독자를 찾아갑니다. 서울신문 정당팀이 ‘주간 여의도 인물’을 선정해 탐구합니다. 지난 일주일 국회에서 가장 눈에 띄었던 정치인의 말과 움직임을 다각도로 포착해 분석합니다. “3대 메가프로젝트에 포함된 피지컬 인공지능(AI), AI 데이터센터(DC)가 우리 상임위 소관입니다. AI기본법 개정 등 후속 제도 정비를 속히 진행해야 합니다.” 국회 과학기술정보방송통신위원회 더불어민주당 간사인 한준호(재선·경기 고양을) 의원은 AI 강국 기반을 갖추는 게 가장 시급한 과제라고 했다. 한 의원은 지난 21일 서울신문과 만나 “정부의 3대 메가프로젝트는 반도체, 피지컬AI, AI DC 등 이 세 축을 지역의 산업·연구 역량과 연결해 AI 산업 생태계를 전국으로 확장하려는 구상”이라면서 “상임위 내에서 할 수 있는 부분은 속도를 내려고 한다”고 말했다. 이어 “이제 예산 시기로 넘어가는 만큼 관련 예산도 중점적으로 챙기는 작업을 시작하려고 한다”고 했다. 한 의원은 예산 심사 기준으로 사업별 수요와 기존 사업과의 중복 여부, 민간 투자와의 연계, 실증 이후 확산 계획, 성과 측정을 꼽았다. 그러면서 “독자 AI 모델과 그래픽처리장치(GPU), 국가AI컴퓨팅센터, 국산 AI 반도체가 실제 기술 개발과 산업 현장의 활용으로 이어지는지도 확인하겠다”며 예산 심사 후 집행 과정까지 면밀히 살펴보겠다고 했다. 23일 과학기술정보통신부 등에 대한 종합감사를 끝으로 올해 국정감사를 마무리하는 한 의원은 “이번 국감 성과는 민주당 과방위원들이 각자 맡은 현안을 깊이 파고들고, 그 결과를 제도 개선 과제로 함께 모아낸 것”이라고 강조했다. 한 의원은 지난 22일 방송미디어통신위원회(방미통위) 등에 대한 종합국감에서 5년째 방치된 통신3사 미환급금에 대한 실질적 환급 대책을 촉구하는 등 민생 문제도 짚었다. 전체 미환급금의 80% 이상이 1만원을 넘은 만큼 이용자가 제 돈을 돌려받을 수 있게 개선 방안을 마련해달라는 취지였다. 또 463억원에 달하는 불법스팸 과태료 장기체납에 대한 정리 계획 마련도 촉구했다. 해마다 징수를 하지만 누적 체납은 줄지 않고 시간이 흐를수록 회수 자체가 어려운 구조를 짚은 것이다. 이진숙 국감 제척엔 “이해충돌 우려 해소 차원”R＆D 연구 안정적 지원·합리적 평가 체계 촉구“단기 실적, 행정 부담 쫓기지 않게 제도 정비”이진숙 국민의힘 의원의 국감 제척 문제로 여야가 충돌한 것과 관련해선 “방송통신위원장 재임 중 본인(이진숙 의원)이 관여한 사안을 감사할 때 생길 수 있는 이해충돌 우려를 해소하기 위해 해당 사안에 한해 적용한 조치”라고 했다. 한 의원은 전날 범여권 과방위원들과 함께 기자회견에서도 헌법재판소가 이 의원에 대한 제척 의결의 효력정지 가처분 신청을 일부 인용한 것과 관련해 “제척이 유지된 범위와 이유를 외면한 채 국민에게 결정의 일부만 전달하고 있다”며 “국민의힘은 결정 왜곡을 멈추고 공정한 국감에 협조해야 한다”고 했다. 이번 국감에서 연구개발(R＆D) 예산 삭감으로 흔들린 연구 현장에 대한 안정적 지원과 합리적 평가 체계 마련을 촉구한 한 의원은 신뢰 회복 중요성도 강조했다. 그는 “지난 1일 토론회에서 연구자들이 안정적으로 연구에 몰입하기 위해선 예산의 연속성과 연구 자율성이 중요하다는 현장 목소리를 확인했다”며 “다년도 연구 지원을 강화하고 예산 조정이 불가피할 때는 사유와 절차를 투명하게 하겠다”고 했다. 또 “연구 분야와 과제 기간에 맞는 평가를 정착시키고 과제 기획과 수행 과정에서 연구자의 전문성과 자율성을 보장해야 한다”고 강조했다. 단기 실적과 행정 부담에 쫓기지 않고 도전적인 연구에 나설 수 있게 제도를 정비하겠다는 구상이다. 사이버 침해 사고 땐 기관간 정보 공유과방위, 디지털 정보 보존 등 우선 점검방송·OTT 아우른 ‘통합미디어법’ 필요최근 큰 우려를 낳은 금융권 해킹 사고와 관련해선 사고 정보를 신속히 공유하고 관계기관이 함께 조사하는 체계부터 강화해야 한다고 한 의원은 설명했다. 과방위에서도 ▲침해사고 발생 즉시 신고 및 관계기관 통보 체계 ▲서버 이미지·로그 등 사고 원인 규명에 필요한 디지털 증거 보존 ▲금융당국·과기부·한국인터넷진흥원(KISA) 공동 조사와 재발 방지 대책 ▲피해자에 대한 신속한 안내와 구제 ▲신고 지연, 증거 훼손에 대한 기업 책임과 제재 기준 등을 우선 점검하겠다고 했다. 한 의원은 “LG유플러스 사이버 침해사고에서 확인된 증거 보존과 조사 체계의 문제를 금융권 전반의 개선으로 연결하겠다”고 했다. 방송·미디어 제도 개선에도 팔을 걷어붙인 한 의원은 YTN 매각 과정과 관련해 “방미통위가 감사원 감사 결과와 법원 판단을 토대로 최다액출자자 변경 승인 과정의 적법성, 공공성을 판단하고 필요한 조치를 해야 한다”고 했다. 또 방송과 온라인동영상플랫폼(OTT)을 아우르는 통합미디어법 제정 필요성도 강조했다. 그는 “우리는 IPTV법이 별도로 존재하고 OTT는 정보통신망법에서 규제를 받고 있고 레거시(전통) 미디어는 전부 방송법 제재를 받는다”며 “동일 서비스, 동일 규제 방향인 전세계 흐름에 맞춰 우리도 이걸 합치는 작업을 하려고 한다”고 했다. 방송법의 경우 37년 만에 틀 자체를 바꾸는 굉장히 큰 작업이라는 게 한 의원 설명이다.

인증 없이도 서버를 장악해 원격으로 명령을 실행할 수 있는 치명적인 PHP 보안 결함이 발견돼 전 세계가 긴급 대응에 나섰다. 특히 패치 공개 전부터 해커의 공격 시도가 포착되면서 일부 국가는 정부 웹사이트를 선제적으로 폐쇄하는 등 초유의 ‘오프라인 셧다운’ 사태가 확산하고 있다. 22일(현지시간) 로이터통신에 따르면 매튜 프린스 클라우드 플레어 최고경영자(CEO)는 PHP 취약점 공개 이후 해킹 공격 시도가 평소 수천 건에서 수백만 건으로 급증했다고 경고했다. 미국 국가안보국(NSA)은 엑스를 통해 “이러한 취약점은 서버의 파일 시스템이나 데이터베이스로 직접 이어지는 침입 경로를 제공한다”며 “즉각적인 업데이트가 불가능한 기관은 시스템을 즉시 오프라인으로 전환하라”고 밝혔다. 미 연방수사국(FBI)도 성명을 통해 “인증 없는 악의적 행위자가 원격으로 명령을 실행해 핵심 전산망을 무력화할 위험이 극도로 크다”고 경고하며 전산망 격리를 지시했다. 일본 정부도 신속 대응에 착수했다. 다카이치 사나에 총리는 전날 밤 소셜미디어를 통해 “여러분 오늘 밤에 대응해 주실 것을 아주 급하게 부탁드린다”며 이례적인 긴급 지시를 내렸다. 총리의 한밤 경고에 내각관방과 디지털청, 경제산업성은 야간 근무 체제를 전면 가동해 공공기관과 핵심 인프라 기업들에게 사이트 가동 중단을 포함한 긴급 명령을 하달했다. 유럽연합 사이버보안 대응팀(CERT-EU)이 회원국들과 공동으로 긴급 전산망 방어 조치에 나서면서 유럽 각국의 폐쇄 행렬도 잇따랐다. 네덜란드 정부는 국회 하원과 포털 사이트, 로테르담 항만청 시스템을 즉각 오프라인으로 전환했다. 벨기에 외무부와 지방 정부 웹사이트도 줄줄이 문을 닫았고, 핀란드 정부는 공공 네트워크 서비스를 선제적으로 전면 차단하면서 행정 서비스가 마비되는 소동을 겪었다. 전 세계 공공·민간 서비스망의 동시다발 마비로 인한 피해도 속출하고 있다. BBC는 에든버러 시의회 공식 웹사이트와 주요 방송 프로그램 전산망이 일시 중단됐으며, 온라인 백과사전 위키피디아의 일부 시스템과 인터넷 아카이브도 선제 차단 여파로 접속 장애를 겪었다고 보도했다.

인공지능(AI)이 발견한 보안 취약점 하나에 세계 각국이 선제적으로 웹사이트를 멈춰 세울 만큼 큰 파장이 일었다. 전 세계 웹사이트의 75% 이상에서 사용되는 프로그래밍 언어 ‘PHP’에서 치명적인 보안 취약점이 발견되자 해킹 비상에 미국, 유럽, 우리나라 정부 등은 사이버 보안 대응에 나섰다. 국내에 PHP를 사용하는 인터넷 서버는 약 11만개에 달한다. AI가 이번 취약점을 발견했고 실제 해킹에 악용하는 시도까지 확인되면서, AI가 전 세계 사이버 보안 질서를 뒤흔드는 변수로 떠올랐다. 월스트리트저널(WSJ)·로이터통신 등은 21일(현지시간) 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 ‘PHP’ 개발진이 두 건의 치명적인 보안 취약점을 수정한 새 버전을 이날 긴급 공개했다고 보도했다. PHP는 인터넷 홈페이지가 작동하도록 만드는 프로그래밍 언어다. 사용자가 검색창에 특정어를 입력하면 PHP가 데이터베이스에서 해당 정보를 찾아오고 홈페이지에서 검색 결과를 보여 준다. 따라서 해커가 이번에 발견된 PHP의 취약점을 악용하면 별도 로그인이나 인증 절차 없이 중간에서 임의로 악성코드를 실행하거나 시스템을 장악할 수 있는 것으로 알려졌다. 이 취약점은 국제 보안 취약점 평가 체계(CVSS) 4.0을 기준으로, 10점 만점에 9.2점이다. 이는 가장 높은 단계인 ‘치명적’ 등급이다. 특히 사용 프로그래밍 언어를 확인할 수 있는 웹사이트의 약 75%가 PHP를 사용하고 있어 광범위한 사이버 공격으로 퍼질 수 있다. 이번 사태는 AI가 사이버 보안의 공격과 방어 양쪽을 동시에 바꾸고 있다는 점에서 새로운 보안 위기로 주목받고 있다. 사이버 보안업체 캘리프의 라이언 오스틴 연구원은 지난 8월 오픈AI의 모델 ‘GPT-5.6 솔(Sol)’을 이용해 PHP 소스코드를 점검하던 중 이번 취약점을 찾아냈다. 오픈AI도 오픈소스 소프트웨어의 보안 취약점을 찾아 수정하도록 지원하는 활동의 하나로 이번 점검을 도왔다. 해당 결함은 수년간 PHP 소스코드에 존재했지만 그동안 실제 위험성이 충분히 밝혀지지 않았다. AI는 결함을 찾고 이를 악용한 공격이 소규모 시스템에서 불과 몇 초 만에 가능하다는 사실까지 확인했다. 구글 산하 보안업체 위즈의 공동창업자 아미 루트와트는 “지금까지 AI로 찾아낸 취약점 가운데 가장 심각한 것”이라고 평가했다. 다행히 AI가 결함을 찾아내고 방어 능력을 높인 것이지만, 역설적으로 해커들이 취약점을 분석하고 공격 도구를 만드는 시간과 비용을 줄이는 데 이용될 수도 있다. 실제 아마존은 자체 위협 탐지 시스템 ‘매드팟’(MadPot)을 통해 취약점 공개 나흘 전부터 공격 시도가 있었다고 확인했다. 특히 ‘PHP 개발·유지·보수’를 지원하는 비영리 단체인 PHP 재단은 패치 배포업체 ‘체인가드’가 일반인의 다운로드 시점인 공식 배포 시간보다 6시간 이상 일찍 패치가 적용된 이미지를 공개했다고 지적했다. 해당 이미지를 통해 해커들이 기존 코드와 패치의 수정된 코드를 비교해 어떤 부분에 보안 문제가 있었는지 알아내고 이를 공격방법으로 전환할 수 있었다는 것이다. 국내에서도 상당수 웹사이트가 위험에 노출됐을 가능성이 있다. 안랩에 따르면 인터넷에 공개된 서버 정보를 분석한 결과 취약한 PHP 버전을 사용하는 것으로 추정되는 국내 서버가 약 11만건으로 집계됐다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 22일 정오부터 PHP의 보안 취약점에 대응해 민간 분야 사이버 위기 경보를 ‘관심’에서 ‘주의’로 격상했다. 이에 침해 대응 인력을 늘리고 비상출동조를 상시 대기시키는 등 비상대응 체계가 가동됐다. 삼성전자는 일부 PHP 기반 웹사이트의 접속을 차단하고 보안 패치를 적용했으며, SK그룹은 계열사별 점검과 패치에 나섰다. 포스코그룹도 긴급대응반을 구성했다.

인공지능(AI)이 발견한 보안 취약점 하나에 세계 각국이 선제적으로 웹사이트를 멈춰 세울 만큼 큰 파장이 일었다. 전 세계 웹사이트의 75% 이상에서 사용되는 프로그래밍 언어 ‘PHP’에서 치명적인 보안 취약점이 발견되자 해킹 비상에 미국, 유럽은 물론 우리나라 정부도 사이버 보안 대응에 나섰다. 국내에 PHP를 사용하는 인터넷 서버는 약 11만개에 달한다. 이번 취약점이 AI를 통해 발견되고 실제 악용 시도까지 확인되면서, AI가 전 세계 사이버 보안 질서를 뒤흔드는 변수로 떠올랐다. 월스트리트저널(WSJ)·로이터통신 등은 21일(현지시간) 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 ‘PHP’ 개발진이 두 건의 치명적인 보안 취약점을 수정한 새 버전을 이날 긴급 공개했다고 보도했다. PHP는 인터넷 홈페이지가 작동하도록 만드는 프로그래밍 언어다. 사용자가 검색창에 특정어를 입력하면 PHP가 데이터베이스에서 해당 정보를 찾아오고 홈페이지에서 검색 결과를 보여주는 역할을 한다. 해커가 PHP의 취약점을 악용하면 별도 로그인이나 인증 절차 없이 중간에서 임의로 악성코드를 실행하거나 시스템을 장악할 수 있는 것으로 알려졌다. 이 취약점은 국제 보안 취약점 평가 체계(CVSS) 4.0을 기준으로, 10점 만점에 9.2점이다. 이는 가장 높은 단계인 ‘치명적’ 등급이다. 특히 사용 언어를 확인할 수 있는 웹사이트의 약 75%가 PHP를 사용하고 있어 광범위한 사이버 공격으로 퍼질 수 있다. 이번 사태는 AI가 사이버 보안의 공격과 방어 양쪽을 동시에 바꾸고 있다는 점에서 새로운 보안 위기로 주목받고 있다. 우선 사이버 보안업체 캘리프는 오픈AI의 모델 ‘GPT-5.6 솔(Sol)’을 이용해 PHP의 취약점을 찾아냈다. 과거에도 해당 결함은 잠재적인 문제로 지적됐지만, AI를 통해 심각성을 구체적으로 밝혀낸 것으로 전해졌다. AI가 인간이 놓쳤던 결함을 찾아내 방어 능력을 높인 것이지만, 역설적으로 해커들이 취약점을 분석하고 공격 도구를 만드는 시간과 비용을 줄이는 데 이용될 수도 있다. 실제 아마존은 자체 위협 탐지 시스템 ‘매드팟(MadPot)’을 통해 취약점이 공개되기 나흘 전부터 공격 시도가 있었음을 확인했다고 밝혔다. PHP의 보안 취약점 패치가 공식 발표 전에 공개되면서 해킹 위험이 더 커졌다는 지적도 나온다. PHP 개발과 유지·보수를 지원하는 비영리 단체인 PHP 재단은 이날 패치 배포업체 ‘체인가드’가 공식 배포 예정 시각보다 6시간 이상 일찍 패치가 적용된 이미지를 공개했다고 밝혔다. PHP 재단 개발진이 보안 결함을 고친 뒤에 패치를 공개하려고 했지만 이런 계획이 무산되면서 공격자들이 기존 코드와 패치 코드를 비교해 취약점을 파악할 시간을 벌었다는 뜻이다. 세계 각국은 선제적 ‘오프라인 전환’을 권고하며 대응에 나섰다. 미국 당국은 소셜미디어 엑스(X)를 통해 “PHP를 사용하는 모든 기관과 기업은 즉각적인 업데이트에 나서고 불가능하다면 취약점이 완전히 해결될 때까지 해당 시스템을 오프라인 상태로 전환하라”고 공지했다. 네덜란드와 핀란드 등 일부 유럽 국가 정부 기관은 예방 차원에서 웹사이트 운영을 중단했으며 유럽과 일본, 호주 등의 사이버 보안 당국도 긴급 업데이트를 권고했다. 국내에서도 상당수 웹사이트가 위험에 노출됐을 가능성이 있다. 안랩에 따르면 인터넷에 공개된 서버 정보를 분석한 결과, 취약한 PHP 버전을 사용하는 것으로 추정되는 국내 서버가 약 11만건으로 집계됐다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 22일 정오부터 PHP의 보안 취약점에 대응해 민간 분야 사이버 위기 경보를 ‘관심’에서 ‘주의’로 격상했다. 이에 따라 침해 대응 인력을 늘리고 비상출동조를 상시 대기시키는 등 비상대응 체계가 본격 가동됐다.

22일 코스피가 전날의 상승분을 반납하고 3%대 하락하며 5500선으로 내려앉았다. 이날 코스피는 전 거래일 대비 201.89포인트(3.52%) 하락한 5533.77에 거래를 마쳤다. 지수는 1.14% 하락한 5670.11로 개장해 이어 외국인과 기관의 동반 매도에 낙폭을 키웠다. 삼성전자는 4.03% 하락한 21만 4500원에, SK하이닉스는 5.49% 내린 122만 3000원에 장을 마감했다. ‘삼전닉스’는 장 초반 한때 상승 전환했으나, 이후 하락 전환해 장 막판 삼성전자는 5.15%, SK하이닉스는 6.96%까지 밀리기도 했다. 삼성전자우(-2.96%), SK스퀘어(-3.59%), LG에너지솔루션(-5.22%), 삼성전기(-1.97%), 삼성바이오로직스(-3.95%), 현대차(-2.58%) 등 코스피 시가총액 상위 종목 대부분이 하락 마감했다. 인공지능(AI) 투자의 지속 가능성과 수익성에 대한 시장의 의구심이 여전한 상황에서 전날 급등분에 대한 차익 실현 매물이 쏟아지며 하방 압력으로 작용한 것으로 분석된다. 앞서 간밤 미 뉴욕증시 3대 지수는 모두 상승 마감했으며, 특히 스페이스X가 상장 이후 처음으로 흑자 전환하고 AI 서버 제조업체 슈퍼마이크로컴퓨터가 시장 전망치를 뛰어넘는 실적과 전망치를 제시한 것이 기술주에 긍정적으로 작용했다. 그러나 전날 급등한 코스피는 오히려 이날 외국인과 기관의 동반 차익 실현에 급락했다. 메타가 3분기 매출이 전년 대비 26% 급증했지만 AI 투자를 늘린 탓에 잉여현금흐름(FCF)이 적자 전환한 것도 기술주 투심을 악화시켰다. 한편 코스닥지수는 28.66포인트(3.62%) 내린 764.10에 거래를 마쳤다.

외부 해킹으로 학내 구성원 1만여명의 개인정보가 유출된 연세대에서 일주일 전에도 사이버 침해 의심 사례가 있었던 것으로 파악됐다. 22일 대학가에 따르면 지난 14일 한 텔레그램 대화방에 연세대 웹사이트의 ‘웹쉘’ 접속권을 판매한다는 게시글이 등장해 대학 측이 확인에 나섰다. 웹쉘은 공격자가 서버 내부에 심어 시스템을 원격으로 제어할 수 있도록 하는 악성 스크립트다. 이 대화방에는 연세대 도메인을 쓰는 모든 웹사이트에 웹쉘을 심어 두고 그 접근 권한을 300달러(약 39만 7000원)에 판매한다는 공지가 올라와 있는 상태다. 이틀 뒤인 16일 대학 측은 해당 대화방 캡처본을 첨부한 메일을 학내 구성원에게 보내 “단순 금전 취득을 목적으로 한 광고성으로 보이나, 근래 침해사고가 증가함에 따라 웹사이트에 특이사항이 없는지 보안점검을 실시하라”고 알렸다. 연세대 관계자는 “당시 상황을 인지한 뒤 점검한 결과 허위 매물일 가능성이 높다고 판단했다”며 “그 당시에는 별도의 해킹 피해가 발생하지 않았던 것으로 확인했다”고 말했다. 연세대는 이날 ‘연세포털서비스’에 대한 외부의 비인가 접근으로 재학생과 졸업생, 교직원 등 일부 구성원의 개인정보가 유출됐다는 안내 문자를 발송했다. 정보 유출은 지난 20일 오후 7시 41~43분과 21일 오전 10시 4~11분 사이 두 차례에 걸쳐 이뤄진 것으로 파악됐다. 유출된 정보로는 학내 구성원 1만여명의 학번·직번, 이름, 휴대전화 번호, 이메일 주소, 신분 코드, 최종 로그인 IP와 일부 시스템 관리정보 등이 포함됐다. 주민등록번호나 외국인등록번호, 여권번호 등 개인의 고유 식별정보는 유출되지 않았다. 대학 측은 이러한 정황을 확인해 공격자의 IP와 정보 유출 경로를 차단하고 시스템 전반에 대한 보안 점검을 수행했다고 설명했다. 이와 함께 이번 유출 사실을 개인정보보호위원회, 한국인터넷진흥원(KISA), 교육부에도 각각 신고했다고 밝혔다. 개인정보 유출 여부와 유출 항목은 이날 오후 1시부터 학교 홈페이지를 통해 확인할 수 있도록 조치했다. 연세대는 이날 공지를 통해 “사고 발생 사실을 엄중하게 인식하고 있으며, 추가 피해를 예방하고 유사한 사고가 재발하지 않도록 필요한 조치를 신속하게 추진하고 있다”며 “이번 사고로 구성원 여러분께 걱정과 불편을 끼쳐드린 점 진심으로 사과드린다”고 밝혔다.

‘반도체 투톱’ 삼성전자와 SK하이닉스가 전날 상승분을 반납한 채 급락하고 있다. 이렇다 할 악재가 없는 상황에서 외국인들의 차익 실현에 밀리면서 코스피는 3% 넘게 하락하며 다시 5500선으로 내려앉았다. 22일 코스피는 전 거래일 대비 3.83% 하락한 5515.96을 가리키고 있다. 지수는 1.14% 하락한 5670.11로 개장해 낙폭을 키웠다. 전날 급등했던 삼성전자와 SK하이닉스가 이날 장 초반 소폭 상승한 뒤 하락 전환하며 급락세를 타고 있다. 삼성전자는 오후 들어 4.70% 하락한 21만 3000원까지 밀렸으며 SK하이닉스는 6.96%까지 낙폭을 키웠다. 인공지능(AI) 투자의 지속 가능성과 수익성에 대한 시장의 의구심이 여전한 상황에서 전날 급등분에 대한 차익 실현 매물이 하방 압력으로 작용하는 것으로 풀이된다. 앞서 간밤 미 뉴욕증시 3대 지수는 모두 상승 마감했다. 특히 스페이스X가 상장 이후 처음으로 흑자 전환하고 AI 서버 제조업체 슈퍼마이크로컴퓨터가 시장 전망치를 뛰어넘는 실적과 전망치를 제시하며 기술주 투심이 회복됐다. 그러나 하루 앞서 급등하며 뉴욕증시의 상승을 선반영한 코스피는 이날 외국인과 기관의 동반 매도에 맥을 못 추고 있다. 유가증권시장에서 외국인은 2438억원, 기관은 2310억원 순매도하는 가운데 개인이 홀로 4575억원 사들이고 있지만 지수를 방어하기엔 역부족이다. 이날 새벽 메타가 3분기 실적을 발표한 가운데, 매출이 전년 동기 대비 26% 증가하고 AI 투자를 확대할 것이라고 밝힌 점이 AI 투심에 긍정적으로 작용할 수 있는 요소였지만, 투자를 늘린 탓에 3분기 잉여현금흐름(FCF)이 적자 전환한 것도 기술주를 위축시켰다. ‘삼전닉스’와 동반 상승했던 삼성전자우(-3.83%)와 SK스퀘어(-4.11%), 실적 기대감에 최근 급등했던 LG에너지솔루션(-4.50%)과 연이은 수주 소식으로 매수세가 붙었던 삼성전기(-2.48%), 삼성바이오로직스(-3.81%), 현대차(-3.23%), KB금융(-1.68%) 등 코스피 시가총액 상위 종목 대부분이 하락 중이다. 강진혁 신한투자증권 연구원은 “전날 상승분과 메타의 실적을 소화하며 코스피는 되돌림 현상이 이어지고 있다”면서 “개별 기업의 성과가 AI 투자 전반의 수익성을 입증하지는 않는 만큼 빅테크의 실적 시즌 내내 시험 구간으로 작용할 것”이라고 분석했다. 한편 코스닥 지수는 3.54% 하락한 764.69를 가리키고 있다. 알테오젠(-4.17%), 에코프로(-6.71%), 에코프로비엠(-9.66%), 주성엔지니어링(-8.54%) 등 시총 상위 종목 대부분이 급락세다.

전 세계 웹사이트의 70% 이상이 사용하는 프로그래밍 언어 PHP에 치명적인 보안 취약점이 확인되면서 전 세계 웹사이트 보안에 비상이 걸렸다. 각국 정부와 보안기관이 대책에 나선 가운데 과학기술정보통신부와 한국인터넷진흥원(KISA)도 긴급 대응에 나섰다. 전 세계 웹사이트 70% 이상 사용하는 언어에 자체 취약점PHP는 웹사이트 서버용 프로그래밍 언어로, 웹사이트의 로그인·게시판·쇼핑몰 주문조회 등의 기능을 구현하는 데 쓰인다. 1995년 공개된 오픈소스 언어로, 웹 기술 분석업체 W3Techs에 따르면 사용된 프로그래밍 언어를 식별할 수 있는 웹사이트의 약 70~75%가 PHP를 사용한다. 전체 웹사이트의 약 43%에서 쓰이는 워드프레스 역시 PHP를 기반으로 작동한다. 이용자가 웹사이트에서 요청한 작업을 서버에서 처리하고 그 결과를 웹브라우저로 보내주는 역할을 한다. 이용자의 컴퓨터나 스마트폰이 아닌 웹사이트 운영 서버에서 실행되는 것이 특징이다. 예를 들어 온라인 쇼핑몰에서 주문 내역을 조회하면 서버가 PHP로 작성된 프로그램을 실행해 데이터베이스에서 해당 정보를 찾아 이용자에게 보여준다. 게시판에 글을 쓰거나 댓글을 불러오는 기능도 이런 방식으로 구현된다. 이번 보안 취약점의 파급력이 큰 것도 이처럼 수많은 웹사이트가 보편적으로 사용하는 기능이 PHP에 의존하고 있기 때문이다. 이번 취약점은 개별 사이트의 코딩 실수가 아니라 PHP 자체의 내부 처리 과정에 내재한 것으로 전해졌다. 로그인이나 인증 없이 외부에서 서버를 장악할 수 있는 취약점 2건이 확인된 것이다. 패치 나오기 전 결함 알려져…“공조 깨졌다” 전 세계적인 파급력뿐만 아니라 결함이 발견되고 패치가 나오기까지의 과정도 논란이 되고 있다. 연합뉴스와 PHP 재단에 따르면 이 결함은 2024년 독일 ‘소버린 테크 펀드’(STF)의 지원으로 진행된 보안 감사에서 처음 포착됐다. 당시 개발진은 메모리 부족(OOM) 상황을 처리하는 과정에서 생길 수 있는 결함을 확인하고 수정 방안을 논의했다. 그러나 만장일치 합의로 결정하는 구조 탓에 결론을 내지 못했고, 기존 라이브러리와의 호환성이 깨질 수 있다는 우려와 성능 저하 논란까지 겹치면서 패치는 보류됐다. 특히 이 결함이 실제 원격 코드 실행(RCE) 공격으로 이어질 수 있다는 점을 당시로선 입증하지 못한 것도 작용했다. 그러나 지난 8월 인공지능(AI)을 활용해 같은 결함을 찾아내면서 상황이 달라졌다. 잠재적 버그 정도로 여겨졌던 결함이 AI 분석을 통해 실제 시스템 침투 경로로 이용 가능하다는 점이 확인된 것이다. 미국 보안업체 캘리프(Calif) 연구진은 오픈AI의 ‘GPT-5.6 솔’로 PHP 코드를 분석했고, 오픈AI 보안팀도 별도 연구에서 같은 결함을 찾아냈다. 이 결함은 8월 11일 PHP 재단에 신고됐다. PHP 재단은 신고를 받은 뒤 두 달여 검증 작업을 거쳐 21일 공식 보안 업데이트를 배포했다. 재단은 대응이 늦어진 원인으로 거버넌스의 한계와 자원 부족을 인정하고 보안 체계를 손보겠다고 밝혔다. 이 과정에서 또 다른 논란도 불거졌다. 일부 패치 배포업체가 공식 배포 예정 시간보다 약 6시간 앞서서 패치가 적용된 이미지를 기습 공개한 것이다. 재단은 공식 성명을 통해 “체인가드가 일방적으로 엠바고를 깼다”며 “공조 공개를 위해 수많은 주체가 수 주 동안 기울인 노력을 무시한 행위”라고 강력히 비판했다. 패치가 예정보다 일찍 공개되면 해커 등 공격자들이 패치 코드를 역분석해 공격 도구를 개발할 수 있게 된다. 정식 업데이트가 제공되지 않는 상황에서 해커들에게 먼저 코드를 분석할 수 있는 6시간을 제공함으로써, 이용자들이 눈 뜨고 당할 수도 있는 위험을 초래한 셈이다. 사실 공식 패치 배포 전부터 연이어 정보 유출이 있었다. PHP 개발진은 당초 22일에 패치를 배포하려 했으나 지난 20일 온라인에서 취약점 ID 등이 유포되면서 배포 일정을 하루 앞당겼다. 여기에 다른 보안업체 ‘캘리프’가 실수로 취약점 공격 시연 영상을 올렸다가 삭제하면서 해커들의 공격 도구 개발이 가속됐다고 재단은 지적했다. 이런 상황에서 체인가드의 기습적인 패치 공개가 이어지면서 ‘시간차 방어망’이 무너졌다는 평가가 나온다. AI로 빨라진 해킹 공격·방어…현장 적용 늦는 고질적 문제도 특히 AI 도구의 발전으로 패치 코드를 역분석해 공격 도구를 만드는 속도가 과거와 비교할 수 없을 정도로 빨라진 상황에서 이와 같은 공조 실패는 더욱 뼈아프다는 지적이 나온다. 이 문제를 최초로 발견한 타이 두옹 캘리프 최고경영자(CEO)는 “어떤 사람이 패치를 가져다가 AI를 돌려보고, 이를 악용하는 스크립트를 게시할 수도 있다”면서 “그러면 대혼란이 일어날 것”이라고 우려했다. 이런 비판에 댄 로랜크 체인가드 CEO는 “현장에서 실제 취약점 공격이 이뤄지고 있다는 징후를 여러 보안업체가 확인했다”면서 “실제 공격 증거가 포착됐을 때 패치를 배포하도록 한 공조 취약점 공개 가이드라인에 따라 출시 결정을 내렸다”고 해명했다. 다만 “내 결정으로 더 큰 압박을 받게 된 PHP 재단과 관리자들에게 미안하다”고 덧붙였다. 공조가 무너진 것과 별개로 이미 보안업계에서 AI를 활용해 공격과 방어 양쪽에서 속도 경쟁이 붙고 있다. 보안업계에서는 이번 사태가 AI로 인해 사이버보안에서 공격과 방어 양쪽이 속도 경쟁이 본격화한 대표적 사례로 보고 있다. 과거에 보안 분석은 사람이 직접 코드를 살펴보거나 정적 분석 도구에 기대는 방식이었다. 그러나 이제는 대형언어모델(LLM) 기반의 AI 에이전트가 방대한 코드에서 여러 논리 결함을 엮어 공격 코드를 거꾸로 설계해 내는 수준까지 왔다. 이런 도구가 공격자 손에 들어가면 막기 더욱 어려워진다. 오픈AI도 분석 결과를 공개하면서 고성능 추론 모델이 취약점을 빨리 찾아내는 만큼 공격자가 악성 도구를 만드는 기간도 크게 줄일 수도 있다고 경고했다. 이번에는 연구진이 공격자보다 먼저 결함을 찾아내 패치 작업을 할 시간을 벌었다. 그러나 방어하는 쪽이 앞으로도 늘 한발 앞설 거라는 보장이 없으며 이번에도 이미 취약점을 파고든 공격이 없었으리라는 법이 없다. AI를 활용한 취약점 신고가 쏟아지면서 오픈소스 진영의 검증 부담도 커졌다. PHP 재단에 따르면 지난 7월 이후 AI 등을 이용해 접수된 허위·중복 신고 100여건을 걸러내느라 유지보수 인력이 대거 투입됐다. 패치가 나와도 현장 적용이 늦어지는 것은 고질적이면서도 더욱 큰 문제다. 기업이나 기관이 기존 시스템과의 호환성을 이유로 업데이트를 미루면 취약점은 그대로 남을 수밖에 없기 때문이다. 결국 방어하는 쪽이 아무리 빨리 결함을 찾아내더라도 보완 패치 업데이트가 늦으면 공격자는 오히려 알려진 결함을 파고들 수 있다. 한국인터넷진흥원(KISA)은 ‘PHP’에서 취약점이 발견됐다며 보안 업데이트를 권고했다. 특히 PHP 8.1 이하 버전은 이미 공식 보안 지원이 종료된 만큼 지원 중인 버전으로 업그레이드해야 한다고 강조했다. 미 국가안보국(NSA)은 소셜미디어 엑스(X)에서 “즉각적인 업데이트가 불가능하다면, 취약점이 완전히 해결될 때까지 해당 시스템을 오프라인 상태로 전환할 것을 권고한다”고 밝혔다. 과학기술정보통신부와 KISA는 21일 밤 사이버 위협정보 분석·공유 시스템(C-TAS) 회원사와 정보보호 최고책임자(CISO) 신고 의무 기업을 대상으로 PHP 취약점에 대한 보안 조치를 취할 것을 요청했다. C-TAS는 KISA가 운영하는 사이버 위협정보 분석·공유 시스템으로, 약 5900개 참여 기업과 기관이 사이버 위협 정보를 공유하는 체계다. 정보통신망법에 따라 정보보호 업무를 총괄하는 정보보호 최고책임자(CISO)를 지정해 과기정통부에 신고해야 하는 의무 기업은 현재 약 3만곳에 이른다. 정부는 사이버 위협 정보를 안내하는 포털인 ‘KISA 보호나라’를 통해서도 PHP 취약점에 대한 보안 업데이트와 패치 적용을 권고하는 공지를 했다.