검색결과 총 85건
-
AI가 드러낸 PHP 치명적 보안결함…전 세계 웹사이트 비상
[경제일보] 웹사이트를 구동하는 프로그래밍 언어 PHP에서 로그인 없이 서버에 악성 코드를 실행할 수 있는 취약점이 공개돼 각국 기관과 기업이 긴급 대응에 나섰다. AI를 활용한 보안 연구진이 오래된 결함의 실제 공격 가능성을 입증하면서 파장이 커졌다. 네덜란드에서는 일부 정부 웹사이트가 예방 차원에서 운영을 중단했고, 국내에서도 보안 업데이트 권고가 나왔다. PHP 개발진은 지난 21일(현지시간) 핵심 엔진에서 발견된 취약점 두 건을 수정한 보안 업데이트를 배포했다. 'PHP2Shell'로 불리는 이번 취약점의 식별번호는 CVE-2026·109618과 CVE-2026·109619다. 공통취약점평가시스템(CVSS) 4.0 기준 위험도는 각각 10점 만점에 9.2점이다. 두 취약점 모두 인증 없이 원격 코드 실행이 가능하며, 공격에 성공하면 민감한 정보가 노출되거나 서버가 장악될 수 있다. 문제는 PHP가 웹 요청을 처리하는 과정에서 메모리 부족이나 치명적 오류를 만났을 때 발생한다. 첫 번째 취약점은 메모리 부족 상황에서 불완전하게 초기화된 내부 데이터가 정상 데이터처럼 처리되는 결함이다. 다른 취약점은 치명적 오류 이후 이미 해제된 메모리를 다시 참조하는 문제다. 이런 결함을 악용하면 서버 내부 정보를 빼내거나 공격자가 보낸 코드를 실행할 수 있다. PHP 개발진은 웹 요청을 처리하는 PHP 설치 환경 전반을 점검 대상으로 제시했다. 특히 아파치 웹서버에 PHP를 결합한 'mod_php' 환경에서는 기본 설정에서도 애플리케이션 코드가 실행되기 전에 공격이 가능한 사례가 확인됐다. 널리 쓰이는 PHP-FPM에서도 애플리케이션 처리 경로를 통한 원격 코드 실행이 입증됐다. 특정 플러그인이나 개별 웹사이트의 개발 실수에 국한된 문제가 아니라는 점이 파급력을 키웠다. 보안업체 위즈는 워드프레스·드루팔·줌라 등 PHP 기반 플랫폼에서 인증 없는 원격 코드 실행을 재현했다고 밝혔다. 취약점의 영향 범위는 PHP 5.4 이상 버전까지 거슬러 올라간다. 오래된 소프트웨어에 남아 있던 결함이 실제 공격 가능한 형태로 확인된 것이다. PHP는 웹 전반에 널리 쓰인다. 웹 기술 분석업체 W3Techs의 지난 21일 기준 통계에 따르면 PHP는 서버 측 프로그래밍 언어를 식별할 수 있는 웹사이트의 69.3%에 사용된다. PHP 기반 콘텐츠관리시스템인 워드프레스는 전체 웹사이트의 39.6%를 차지한다. 실제 공격 노출 여부는 설치 버전과 서버 구성, 보안 업데이트 적용 상태에 따라 달라진다. 이번 발견에는 보안업체 캘리프와 오픈AI, 위즈 등이 참여했다. 오픈AI에 따르면 캘리프는 GPT-5.6 솔을 활용해 치명적 결함을 발견했고, 위즈도 독립적으로 두 취약점을 찾아 신고했다. 위즈는 제미나이 4 아르곤과 GPT-5.6 솔 등을 연구에 활용했다고 설명했다. AI는 결함을 찾는 데 그치지 않고 복잡한 공격 경로를 분석하고 실제 공격이 가능한지 검증하는 작업도 도왔다. 위즈는 서로 다른 PHP 버전과 설정, 메모리 구조에 맞춰 공격 코드를 조정하고 시험하는 과정에서 AI가 분석과 수정에 필요한 시간을 줄였다고 밝혔다. 취약점 발견과 방어에 쓰이는 AI가 공격 기술의 개발과 확산에도 활용될 수 있다는 의미다. 오래된 결함이 뒤늦게 드러난 배경에는 보안 유지·관리의 한계도 있었다. PHP 재단은 2024년 외부 보안감사 후속 조치 과정에서 메모리 부족과 관련한 결함의 단서를 찾았지만, 당시에는 구체적인 공격 경로가 확인되지 않았다고 설명했다. 수정 방안마다 기존 소프트웨어와의 호환성 문제가 있었고, 핵심 개발인력 부족까지 겹치면서 대응이 여러 차례 지연됐다. 재단은 의사결정 방식과 자원 부족에서 비롯된 '구조적 실패'라고 평가했다. 실제 공격을 겨냥한 움직임도 관측됐다. 클라우드플레어는 취약점 관련 정보가 공식 공개 전에 유출됐으며, 자사 고객을 겨냥한 공격 트래픽과 방어를 우회하려는 변형 시도를 확인했다고 밝혔다. 웹방화벽을 통한 완화 조치를 제공하면서도 근본적인 해결을 위해 PHP 보안 업데이트를 적용해야 한다고 강조했다. 네덜란드 정부는 디지털 신원인증 서비스 디지디(DigiD)와 정부 포털 등 일부 웹사이트를 예방적으로 중단했다. 유럽연합 사이버보안 대응팀(CERT-EU) 등도 인터넷에 노출된 시스템을 우선 업데이트하고, 즉시 조치하기 어렵다면 외부 접속을 차단하는 방안을 검토하도록 권고했다. 국내에서도 한국인터넷진흥원(KISA)이 지난 21일 보안 업데이트를 권고했다. 수정 버전은 PHP 8.2.35·8.3.36·8.4.27·8.5.12다. 정규 보안 지원이 종료된 PHP 8.1 이하 사용자는 지원 버전으로 이전하거나 배포판·장기지원 업체가 제공하는 수정 패키지를 확인해야 한다. 워드프레스 공식 운영진도 이번 문제는 워드프레스 자체가 아닌 PHP 런타임의 취약점이라 별도의 워드프레스 업데이트는 예정돼 있지 않다고 밝혔다. 호스팅 서비스를 이용하는 사업자는 업체의 PHP 업데이트 여부를 확인해야 한다. 웹사이트나 플러그인을 최신 상태로 유지하더라도 기반 PHP가 수정되지 않으면 취약점은 남는다.
2026-10-22 08:23:32
-
-
-
-
-
보호무역은 예고하고 온다…통상도 먼저 움직여야 한다
[경제일보] 세계 철강시장의 문턱이 갈수록 높아지고 있다. 미국은 철강에 50%의 고율 관세를 매기고 있고 유럽연합(EU)은 지난 7월부터 무관세 수입 물량을 대폭 줄였다. 여기에 미국 철강업계가 최근 한국산 철강 수입 증가를 공개적으로 문제 삼고 나섰다. 지난달 28일 미국철강협회(AISI)는 미 상무부와 무역대표부(USTR)에 한국산 철강 수입 증가에 대응해 달라고 요구했다. AISI에 따르면 한국산 장척 철강제품의 미국 수입량은 2024년 7월 2만2100톤(t)에서 올해 7월 14만5300t으로 늘었다. 철근을 포함한 일부 품목의 급증세가 미국 철강산업을 위협할 수 있다는 게 이들의 주장이다. 아직 미국 정부가 한국산 철강에 추가 규제를 결정한 것은 아니다. 업계가 정부에 조치를 요구한 단계다. 그럼에도 가볍게 볼 사안은 아니다. 미국은 지난해 철강 관세를 25%에서 50%로 올렸고, 한국이 2018년부터 적용받았던 무관세 쿼터도 지난해 3월 폐지됐다. 유럽의 장벽도 높아졌다. EU는 지난 7월 기존 철강 세이프가드를 새로운 관세할당제도(TRQ)로 대체했다. 전체 무관세 물량은 연간 3382만t에서 1835만t으로 약 46% 줄었고 쿼터를 넘어선 물량에는 50%의 관세가 붙는다. 한국은 협상을 통해 전용 쿼터 207만3000t을 확보했다. 이전보다 19.7% 줄었지만 EU 전체 쿼터가 크게 축소된 상황을 고려하면 정부가 시장 접근 기반을 상당 부분 방어했다는 평가도 가능하다. 정부는 지난 5월부터 EU 집행위원회를 상대로 우리 업계의 우려를 전달하고 협상을 벌였다. 이 대목은 분명히 평가해야 한다. 보호무역 장벽이 높아질 때마다 정부가 아무것도 하지 않았다고 말하는 것은 사실과 다르다. 그러나 문제는 이제부터다. 철강을 둘러싼 세계의 움직임은 개별 국가와 벌이는 관세 협상의 수준을 넘어섰다. 지난달 30일 경제협력개발기구(OECD) 글로벌 철강 공급과잉 포럼에 참여한 28개 시장경제국은 공급과잉에 공동 대응하는 이른바 ‘밀워키 프레임워크’를 내놓았다. 반덤핑과 상계관세, 세이프가드 등 무역구제 수단을 적극 활용하고 공급과잉을 키우는 보조금에 대한 대응을 강화하는 것이 골자다. OECD는 세계 철강 과잉생산능력이 지난해 6억100만t에서 올해 7억4500만t까지 늘어날 것으로 추산했다. 중국을 중심으로 한 공급과잉에 대응하겠다는 명분 아래 미국과 유럽을 비롯한 주요국의 시장 방어가 한층 거세질 가능성이 커졌다는 얘기다. 한국에는 간단하지 않은 문제다. 중국발 저가 철강의 유입을 막아야 하는 동시에 미국과 유럽에서는 한국산 제품이 규제 대상이 되지 않도록 방어해야 한다. 국내에서는 보호가 필요하고 해외에서는 시장 개방을 요구해야 하는 난처한 위치에 놓여 있다. 통상당국의 능력이 시험받는 지점도 바로 여기다. 앞으로 필요한 것은 문제가 터질 때마다 협상단을 보내는 대응을 넘어 주요 시장의 정책 변화를 먼저 읽는 시스템이다. 미국 철강업계와 의회에서 어떤 요구가 나오고 있는지, EU가 탄소와 공급과잉 문제를 어떤 방식으로 무역규제에 연결하는지 상시적으로 추적해야 한다. 특정 품목의 수출이 급증하면 현지에서 어떤 반작용이 생길지도 미리 살펴야 한다. 이번 미국 철강업계의 문제 제기가 좋은 사례다. 7월 한국산 철강의 미국 수입량은 55만6000t으로 전월보다 32% 늘었다. 미국 철강업계가 민감하게 반응할 수 있는 수준의 변화라면 정부와 업계가 수출 증가의 배경과 품목별 영향을 미리 분석해 둘 필요가 있었다. 통상은 상품을 많이 파는 것만으로 끝나지 않는다. 수출이 빠르게 늘 때 상대국 산업과 정치권이 어떻게 움직일지까지 읽어야 한다. 철강 문제를 철강만의 문제로 다뤄서도 안 된다. 한국은 미국에서 자동차와 배터리, 반도체, 조선, 방산에 대규모 투자를 하고 있다. 알래스카 LNG와 에너지 프로젝트를 둘러싼 협력도 논의되고 있다. 미국 역시 한국의 조선과 제조업 역량을 필요로 한다. 철강 협상도 이 큰 판에서 볼 필요가 있다. 한국산 철강이 미국 자동차·조선·에너지 산업의 공급망에 어떤 역할을 하는지 구체적인 숫자로 보여주고, 한국 기업의 대미 투자와 고용 효과까지 협상의 지렛대로 활용해야 한다. 철강 수입량 하나만 놓고 방어하는 협상보다 산업협력 전체의 이해관계 속에서 문제를 푸는 편이 협상력을 높일 수 있다. 유럽에서는 또 다른 전략이 필요하다. EU는 단순한 수입규제를 넘어 탄소배출까지 무역의 조건으로 만들고 있다. 탄소국경조정제도(CBAM)가 대표적이다. 앞으로 유럽 시장에서 철강의 경쟁력은 가격과 품질만으로 결정되지 않는다. 얼마나 적은 탄소를 배출해 생산했는지도 상품 경쟁력의 일부가 된다. 결국 통상정책과 산업정책이 한 몸처럼 움직여야 한다. 정부가 기업에 시장 다변화와 고부가가치화를 주문하는 것만으로는 부족하다. 새로운 시장의 인증과 규제 정보를 제공하고 무역보험과 금융, 현지 투자, 통상법률 지원을 묶어야 한다. 기업도 범용재 중심의 경쟁에서 벗어나 자동차강판과 조선·에너지용 특수강 등 쉽게 대체하기 어려운 제품의 비중을 높여야 한다. 저탄소 철강 기술 역시 수출 경쟁력을 좌우할 요소가 됐다. 정부가 지금부터 준비해야 할 것도 거창한 새 조직보다 이런 변화를 조기에 포착하고 움직이는 체계다. 미국의 관세와 의회 동향, EU의 쿼터와 환경규제, 주요국의 보조금과 무역구제 조치를 상시 분석하고 국내 산업에 미칠 영향을 수치로 보여줄 필요가 있다. 위험 수준에 따라 기업과 관계부처가 무엇을 해야 하는지도 미리 정해두는 것이 좋다. 통상에도 금융시장의 스트레스 테스트와 비슷한 접근이 필요하다. 정부가 그동안 아무것도 하지 않은 것은 아니다. EU 철강 쿼터 협상에서는 정상급과 고위급, 실무 채널을 가동해 한국 전용 물량을 확보했다. 미국 관세에도 정부와 기업이 대응해왔다. 이제 필요한 것은 대응의 속도와 수준을 한 단계 높이는 일이다. 보호무역은 더 이상 예외적인 사건이 아니다. 미국의 관세, EU의 쿼터와 탄소규제, 각국의 보조금 정책이 뒤섞이면서 새로운 통상질서 자체가 되고 있다. 문제가 생길 때마다 해결하는 방식만으로는 따라가기 어렵다. 철강은 그 변화가 가장 먼저 나타난 산업일 뿐이다. 다음은 자동차가 될 수도 있고 배터리와 반도체가 될 수도 있다. <손자병법>은 “승병선승이후구전(勝兵先勝而後求戰)”이라 했다. 이기는 군대는 먼저 이길 조건을 만들어 놓은 뒤 싸움에 나선다는 뜻이다. 통상도 다르지 않다. 협상장에 앉은 뒤 대응책을 찾기 시작해서는 늦다. 상대국 산업과 정치권이 어떤 요구를 꺼낼지 예상하고 우리가 내놓을 카드와 지켜야 할 선을 미리 정해둬야 한다. 한국은 수출로 성장한 나라다. 보호무역의 파고를 피할 수 없다면 적어도 파도가 어디에서 얼마나 높게 올지는 먼저 읽어야 한다. 정부의 통상 역량도 이제 ‘얼마나 잘 수습했느냐’가 아니라 ‘얼마나 먼저 알고 움직였느냐’로 평가받아야 한다.
2026-10-06 14:44:00
-
-
-
-
美, 의약품 관세 예외 품목 확정…한국 바이오 '숨통'
[경제일보] 미국이 의약품 관세 시행을 앞두고 무관세 적용 대상 품목을 확정했다. 한국을 포함한 일부 국가에서 생산된 희귀의약품과 항체약물접합체(ADC), 세포·유전자치료제 등 특수의약품은 0% 관세 적용이 가능해졌다. 28일 업계에 따르면 미국 상무부 산업안보국(BIS)은 지난 23일(현지시간) 대통령 포고문 제11020호에 따른 의약품 관세 조치의 0% 관세 대상과 적용 절차를 연방관보에 공고했다. 해당 조치는 29일 오전 0시1분부터 적용된다. 앞서 트럼프 대통령은 지난 4월 특정 특허 의약품과 관련 원료에 100% 관세를 부과하는 포고문을 발표했다. 부속서에 포함된 기업은 지난 7월 31일부터, 그 외 기업은 29일부터 관세가 적용된다. 반면 제네릭 의약품과 관련 원료, 바이오시밀러는 현재 무역확장법 232조 관세 대상에서 제외돼 있다. 이번 공고에서 0% 관세 적용 대상이 될 수 있는 품목으로는 희귀의약품, 핵의학 의약품, 혈장 유래 치료제, 난임 치료제, 세포·유전자치료제, ADC 등이 포함됐다. 특정 의료 대응 수단과 동물용 의약품도 대상에 포함된다. 한국도 무관세 적용 대상 관할지역에 포함됐다. 한국을 비롯해 유럽연합(EU), 일본, 인도, 영국, 스위스·리히텐슈타인 등 총 20개 관할지역이 명시됐다. 해당 지역에서 생산된 대상 의약품이 요건을 충족하면 0% 관세를 적용받을 수 있다. 미국의 긴급한 보건상 필요가 있는 의약품은 기업이 별도로 상무부 승인을 신청할 수도 있다. 기업은 제품별로 회사와 제품 정보, 해당 의약품의 수입이 미국의 긴급한 보건상 필요를 충족하는 이유 등을 제출해야 한다. 임상시험이나 연구개발 등 비상업적 목적으로 수입되는 의약품과 관련 원료에는 별도의 0% 관세 분류도 신설됐다. 미국 통합관세표(HTSUS)에는 관련 품목을 위한 새로운 분류인 9903.04.70이 추가된다. 국내 바이오업계에서는 이번 조치가 미국 시장을 겨냥한 신약 및 바이오의약품 기업의 관세 부담을 낮추는 요인이 될 수 있다는 분석이 나온다. 특히 ADC와 세포·유전자치료제 등 미국이 무관세 대상으로 명시한 분야에서 한국 기업의 현지 진출에 미치는 영향이 주목된다. 다만 모든 의약품이 무관세 대상이 되는 것은 아니다. 제품의 종류와 생산 지역, 미국 내 보건상 필요 여부 등에 따라 적용 여부가 달라질 수 있어 기업별 품목 확인이 필요하다. 미국은 이번 공고를 통해 의약품의 범위도 구체화했다. 완제의약품과 완제의약품 제조에 사용되는 활성의약품성분(API) 및 핵심 출발물질은 의약품에 포함되지만 비활성 성분과 부형제는 제외된다.
2026-09-28 17:21:07
-
-
두나무, 글로벌 기관시장 정조준…서울서 디지털 금융 새판 논의
[경제일보] 두나무가 글로벌 규제 당국 출신 인사와 금융회사 관계자를 서울로 불러 디지털자산의 제도화와 기관 참여 확대를 논의한다. 개인 투자자 중심의 거래소 사업을 넘어 기관과 전통 금융회사를 연결하는 디지털 금융 인프라 사업자로 입지를 넓히려는 행보로 풀이된다. 업비트 운영사 두나무는 오는 29일 서울 광진구 그랜드 워커힐 서울에서 ‘업비트 인스티튜셔널 서밋(UIS) 2026’을 개최한다고 22일 밝혔다. 올해 처음 열리는 UIS는 정책 당국과 기관투자자, 금융회사, 디지털자산·기술기업 관계자가 참여하는 초청 행사다. 행사에는 브라이언 퀸텐츠 전 미국 상품선물거래위원회(CFTC) 위원과 해리 정 전 백악관 대통령 디지털자산 자문위원회 부국장, 캐롤라인 팜 문페이 최고법무·행정책임자 등이 연사로 나선다. 팜 책임자는 CFTC 위원장 직무대행을 지냈다. 유럽에서는 피터 커스텐스 유럽연합 집행위원회 금융서비스 및 자본시장연합총국 자문역이 참여한다. 요한 케르브라트 로빈후드 크립토·글로벌 사업 총괄과 실라 워렌 어드밴스드 AI 소사이어티 의장, 트레버 트레이나 툴스 포 휴머니티 최고사업책임자 등도 참석한다. 핵심 의제는 글로벌 규제와 시장구조 변화다. 미국에서는 디지털자산 사업자의 업무 범위와 감독 권한을 정하는 시장구조 논의가 이어지고 있으며 유럽은 가상자산시장법(MiCA)을 중심으로 사업자 규율을 구체화하고 있다. 아시아에서도 국가별로 거래와 수탁, 스테이블코인 제도를 정비하면서 기관 자금이 들어올 수 있는 기반 마련이 주요 과제로 떠올랐다. 토큰화와 온체인 금융도 다룬다. 토큰화는 채권·펀드·부동산 등 현실 자산의 권리를 블록체인상 디지털 토큰으로 구현하는 방식이다. 온체인 금융은 거래와 결제, 자산 이전 기록을 블록체인에서 처리하는 금융 구조를 뜻한다. 기술적 가능성을 실제 금융상품으로 연결하려면 투자자 보호와 자산 보관, 회계·세무 기준을 함께 갖춰야 한다. 국내 금융산업의 변화도 논의한다. 이종섭 서울대 교수를 좌장으로 최원석 두나무 해외사업총괄과 엄태성 하나금융지주 상무, 안인성 한화투자증권 부사장, 황성원 삼성금융네트웍스 최고디지털플랫폼책임자가 은행·증권사의 온체인 전환 가능성을 짚는다. UIS 다음 날인 30일부터 10월 1일까지는 ‘코리아 블록체인 위크 2026’ 메인 콘퍼런스가 이어진다. 두나무는 프레젠팅 파트너로 참여하고 오경석 대표는 디지털자산 거래를 금융 인프라로 확장하는 구상을 발표한다. 오 대표는 “한국과 글로벌 디지털자산 시장을 연결하는 계기가 되길 기대한다”고 말했다. UIS가 일회성 담론을 넘어 국내 기관의 거래·수탁·토큰화 사업과 구체적으로 연결될지가 향후 관전 포인트다.
2026-09-22 09:05:17
-
-
-