블록미디어 명정선 기자 – 웹 개발에 널리 사용되는 프로그래밍 언어 PHP의 치명적인 보안 취약점을 악용해 실제 서버 침입이 이루어진 사실이 확인됐다. 26일(현지시각) 크립토슬레이트에 따르면 온라인에서 ‘킬라(Killa)’라는 이름으로 활동하는 보안 연구자는 지난 25일 공개 해킹 실험을 통해 PHP 서버를 공격, 비트코인 지갑의 개인키까지 유출해냈다. 이때 저장된 개인키는 실제 자산이 보관된 지갑과 동일하지 않아 직접적인 금전은 없었으나, 운용자가 실수한 2000달러 상당의 비트코인을 우승자에게 별도로 지급했다.
이번 해킹 시도는 지난 21일 공개된 PHP 취약점 두 건(CVE‑2026‑109618·CVE‑2026‑109619)을 실제 공격에 악용될 수 있는지를 검증하기 위해 마련됐다. 이 취약점은 공격자가 영향을 받는 서버에서 원격으로 코드를 실행할 수 있다는 점에서 위험성이 제기되었다. 초기 실험에서는 공격 성공 사례가 나오지 않았으나, 보안 전문가들은 서버 설정 자체가 취약점을 검증하는 데 적절하지 않다고 지적했다.
해킹 운영자인 제임스 파버는 당초 PHP 내장 웹서버를 통해 일반 HTML 페이지만 제공한 상태에서 공격이 어려웠다. 25일 오후 1시(UTC) 시점에서 접근 가능한 PHP 페이지를 추가하자, 3시 47분 38초에 공격이 성공했다. 서버 설정을 변경한 지 3시간도 지나지 않은 시점이었다. 파버는 로그를 통해 침입 사실을 확인하고, 이후 깃허브에 공격 재현 코드와 실험 결과를 공개했다.
이번 사례에서 주목되는 점은 단순히 서버에 접근하는 데 그치지 않고 내부에 저장된 비트코인 개인키까지 유출한 것이다. 개인키는 디지털자산 지갑의 자금을 통제하는 핵심 인증정보이며, 이를 유출하면 공격자가 해당 자금을 외부로 이전할 수 있다. 다만 이번에는 운용자가 잘못된 개인키를 서버에 저장해 둔 탓에 직접적인 금전은 없었으나, 실험 결과가 기업들의 보안 업데이트를 지연시키는 근거로 사용될 우려가 있다.
이와 같은 사건은 PHP 서버의 취약점이 실제 침입과 민감정보 유출로 이어질 수 있음을 보여주며, 디지털자산 거래소나 지갑 서비스처럼 개인키를 관리하는 사업자는 취약한 소프트웨어 사용 여부와 서버 보안 설정을 점검할 필요가 있다는 경고를 받는다.