글로벌 사이버보안 기업 티오리가 웹서버를 원격으로 장악할 수 있는 치명적인 PHP 보안 취약점의 공격 코드를 자체 재현·검증하면서 전략적 투자사이자 국내 사업 협력사인 아톤이 주목받고 있다. 아톤은 티오리의 인공지능(AI) 보안 솔루션 '진트 코드(Xint Code)'의 기업간거래(B2B) 영업·마케팅을 공동 추진하고 있으며, 최근 국내 금융권을 대상으로 기술 소개와 공급 활동에도 나서고 있다.
23일 보안업계에 따르면 티오리는 최근 PHP 엔진에서 발견된 고위험 취약점 'PHP2Shell' 2건에 대한 자체 분석을 마치고 공격 코드 재현 결과와 긴급 대응 방안을 공개했다. 해당 취약점은 CVE-2026-109618과 CVE-2026-109619로, 취약점 위험도 평가체계인 CVSS 4.0 기준 9.2점을 기록한 치명적 보안 결함이다.
PHP는 웹사이트와 서버 애플리케이션 개발에 광범위하게 사용되는 프로그래밍 언어다. 이번 취약점은 개별 웹사이트의 소스코드 오류가 아니라 PHP 실행 엔진 자체의 결함에서 발생한다는 점에서 파급력이 크다. 공격자가 별도의 로그인이나 인증 절차 없이 서버에서 임의의 코드를 실행하거나 실행 중인 프로그램의 메모리를 읽어낼 수 있어, 취약한 버전을 사용하는 기업과 기관의 신속한 보안 조치가 요구되고 있다.
티오리의 AI·사이버 연구팀은 해당 취약점의 공격 코드를 직접 구현해 실제 악용 가능성을 검증했다. 단순히 취약점의 존재 여부를 확인하는 데 그치지 않고 서버 구성에 따른 공격 가능성을 분석했으며, 즉각적인 업데이트가 어려운 기업을 위해 임시 완화 조치와 설정 점검 스크립트도 공개했다.
특히 Apache 웹서버와 PHP 모듈을 결합한 환경에서는 애플리케이션 구현 방식과 관계없이 원격 코드 실행이 가능한 것으로 분석됐다. PHP-FPM을 사용하는 일부 환경에서도 세션 처리와 역직렬화 기능 등을 통해 공격이 성립할 수 있는 것으로 확인됐다. 티오리는 임시 설정 변경만으로 모든 공격 경로를 차단할 수 없는 만큼 최신 보안 패치 적용이 필수적이라고 강조했다.
이번 분석은 티오리가 확보한 공격자 관점의 취약점 연구 역량을 보여주는 사례다. 티오리는 세계적인 해킹대회에서 성과를 거둔 보안 연구진을 기반으로 실제 공격 시나리오를 분석하는 오펜시브 시큐리티(Offensive Security) 기술을 발전시켜 왔다. 최근에는 이러한 기술을 AI 기반 보안 솔루션으로 확장하면서 기업용 보안 시장 공략을 강화하고 있다.
아톤과의 사업적 연결고리도 이 지점에서 형성된다. 아톤은 티오리에 전략적 투자를 단행한 데 이어 지난 3월 미국 샌프란시스코에서 열린 글로벌 보안 콘퍼런스 'RSAC 2026'에서 티오리와 업무협약(MOU)을 체결했다. 양사는 티오리의 AI 소스코드 보안 솔루션 '진트 코드'를 중심으로 국내외 기업 고객을 대상으로 공동 마케팅과 판로 개척을 추진하기로 했다.
진트 코드는 AI가 소프트웨어 소스코드의 설계와 실행 맥락을 분석해 보안 취약점을 탐지하는 솔루션이다. 티오리가 공개한 제품 설명에 따르면 수백만 줄 규모의 소스코드를 12시간 이내에 분석할 수 있으며, 기존 자동화 보안 도구가 발견하기 어려웠던 복잡한 취약점까지 식별하는 데 초점을 맞추고 있다.
아톤은 기존 금융·통신 분야에서 구축한 고객 네트워크를 활용해 티오리의 AI 보안 기술을 국내 기업 고객에게 소개하고 있다. 지난 9월에는 국내 은행·증권·카드·보험·가상자산거래소 등 약 40개 금융사 관계자를 대상으로 보안 세미나를 개최했다. 이 자리에서 티오리는 금융 시스템의 공격 경로를 분석하고 발견된 취약점이 실제 공격에 악용될 수 있는지 검증하는 기술을 소개했다.
아톤이 기존 금융권 인증·보안 사업을 기반으로 글로벌 보안 솔루션의 국내 공급과 기술 지원까지 사업 영역을 넓히고 있다는 점도 주목된다. 회사는 시큐리티센터를 중심으로 개별 보안 제품 공급뿐 아니라 보안 진단, 정책 수립, 운영 및 모니터링을 아우르는 통합 보안 서비스 사업을 추진하고 있다.
이번 PHP 취약점 사태는 기업 보안 수요가 기존의 인증·접근통제를 넘어 소프트웨어 내부 취약점 검증과 실제 공격 가능성 분석으로 확대될 수 있음을 보여준다. 특히 금융기관은 다수의 웹 애플리케이션과 외부 연계 시스템을 운영하는 만큼, 소스코드 보안과 침투 검증 기술을 결합한 보안 체계의 필요성이 커질 수 있다는 분석이다.
김준형 데이터투자 기자 pr@datatooza.com
