9.2점으로 평가된 두 개의 치명적인 PHP 취약점이 PHP 5.4까지 거슬러 올라가며, AI가 발견을 도왔다

뉴스 요약

2026년 10월 21일, PHP 프로젝트는 웹 요청을 처리하는 서버에서 인증되지 않은 원격 코드 실행을 허용할 수 있는 두 개의 치명적인 취약점(CVE-2026-109618 및 CVE-2026-109619)에 대한 긴급 보안 릴리스를 배포했습니다. 이 취약점은 언어 런타임의 오래된 부분에 존재하며, 고급 AI 모델의 도움으로 발견되었고, 웹의 상당 부분을 구동하는 기술에 영향을 미칩니다. TechCrunch는 같은 날 태평양 하계 표준시(PDT) 오전 10시 59분에 보도를 게재했으며, 보안 연구원, 클라우드 제공업체 및 호스팅 회사들은 하루 종일 사이트 운영자들에게 업데이트를 촉구했습니다.

무엇이 발견되었는가

Google Cloud, Patchstack, The Hacker News가 전달한 PHP의 권고문에 따르면, 두 취약점 모두 CVSS v4.0 점수 9.2로 '치명적' 등급에 해당합니다. 하나는 메모리 수명 주기 버그로 설명되며, 요청이 소유한 내부 상태가 그 기반이 되는 메모리가 해제된 후에도 살아남을 수 있습니다. Wiz Research는 두 문제 중 적어도 하나가 5.4까지 거슬러 올라가는 모든 PHP 버전에 영향을 미친다고 밝혔으며, TechCrunch는 이 취약점이 2004년에 시작된 PHP 5 시대부터 존재해 왔다고 언급했습니다. 일부 보도에서는 이 두 가지에 "PHP2Shell"이라는 별명을 붙였습니다. 이 취약점을 통해 공격자는 서버의 파일 시스템이나 웹 애플리케이션이 사용하는 데이터베이스에 접근할 수 있습니다.

누가 어떻게 발견했는가

OpenAI는 "Patch the Planet" 이니셔티브의 일환으로 약 두 달 동안 유지 관리자, 연구원 및 보안 제공업체 연합을 이끌며 이 문제를 다뤘다고 밝혔습니다. 보안 테스트 업체 Calif는 OpenAI의 GPT-5.6 Sol 모델을 사용하여 치명적인 취약점을 식별했으며, OpenAI는 Wiz가 두 취약점을 독립적으로 발견하고 보고했다고 설명했습니다. 한 언론 보도는 Calif가 8월에 버그의 초기 버전을 발견했고 9월에 더 완전한 버전이 나타났다는 타임라인을 설명합니다.

현재 Google의 일부인 Wiz는 자사 팀이 자체 Wiz Atlas 보안 에이전트를 Google의 Gemini 4 Argon 및 OpenAI의 GPT-5.6 Sol과 결합했다고 밝혔습니다. Wiz는 이러한 도구들이 취약점 발견, 개념 증명 익스플로잇 구축, 탐지 로직 생성 및 수정 사항 검증에 도움이 되었다고 보고했습니다. Wiz는 WordPress, Drupal, Joomla의 현재 컨테이너 이미지를 대상으로 인증되지 않은 원격 코드 실행을 시연했으며, 비밀번호, 토큰 및 API 키를 포함할 수 있는 PHP 워커 메모리를 읽을 수 있다는 것도 보여주었습니다. AI 작업이 얼마나 자율적이었는지에 대해서는 보도마다 다르며, 분석가들은 공개된 내용이 모든 발견이 모델 단독으로 이루어졌음을 보여주지는 않는다고 지적합니다. 인간 연구원과 PHP 유지 관리자가 여전히 이 작업의 중심에 있었습니다.

수정 사항 및 조치 방법

패치가 적용된 릴리스는 2026년 10월 21일에 모두 게시된 PHP 8.5.12, 8.4.27, 8.3.36 및 8.2.35입니다. PHP 8.1 및 이전 버전은 수명이 종료되어 수정 사항을 받지 못하므로, 해당 분기를 사용하는 운영자는 지원되는 버전으로 이동해야 합니다. PHP는 웹 요청을 제공하는 모든 설치가 위험에 처해 있으며, Apache의 mod_php를 사용하는 설정에서 노출 정도가 가장 높다고 밝혔습니다. Wiz는 이번 패치가 다른 변형을 포함하여 근본적인 문제를 해결한다고 말했습니다.

미국 국가안보국(NSA)은 2026년 10월 21일 수요일에 "NSA 권고문: PHP 업데이트"라는 제목의 권고문을 발표했습니다. 여기서는 즉시 패치할 수 없는 사이트는 보호 조치가 적용될 때까지 오프라인으로 전환할 것을 권장했으며, 더 구체적인 지침이 뒤따를 것이라고 밝혔습니다. CISA 또한 신속한 패치를 촉구하는 경고를 발표했습니다. 정확한 문구가 규정 준수 작업에 중요하므로, 운영자는 원본 권고문을 직접 읽어야 합니다.

노출 규모는 어느 정도인가

TechCrunch는 W3Techs 데이터를 인용하여 PHP가 감지 가능한 서버 측 언어를 사용하는 웹사이트의 약 70%를 구동한다고 밝히며, 일부 보도에서는 영향을 받는 사이트 수를 수천만 개로 추정한다고 언급했습니다. PHP 위에서 실행되는 WordPress는 이 문제가 자사 소프트웨어에만 국한된 것이 아니라고 밝혔습니다. WordPress CMS를 실행하는 사이트는 서버의 PHP 런타임을 업데이트하고 호스팅 제공업체와 조율해야 합니다. Wiz는 대응을 도와준 Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft, Vercel에 감사를 표했으며, OpenAI 역시 참여자 중 하나로 Cloudflare를 언급했습니다.

악용 현황

상황은 아직 진행 중입니다. OpenAI는 자사 연구원들이 공격자보다 먼저 취약점을 발견했다고 밝혔으며, CISA는 경고 발표 시점에 관찰된 악용 사례가 없다고 보고했습니다. 다른 보도들은 초기 정찰 활동을 설명합니다. Patchstack은 자사의 텔레메트리가 침해에 대한 확실한 증거 없이 정찰 시도를 보여주었다고 말했으며, The Hacker News는 익스플로잇 시도가 나타나고 있다고 언급했습니다. Cloudflare는 같은 날 세부 정보가 유출되었으며 공격자들이 자사 고객 일부를 표적으로 삼고 있다고 밝혔습니다. 독자들은 이 상황을 초기 단계로 간주하고, 수정 사항이 공개된 이상 패치되지 않은 서버는 지금 위험에 처해 있다고 가정해야 합니다.

과학기술 분야에 중요한 이유

이번 사건은 현대 AI 모델이 수십 년 된 대규모 코드베이스를 읽고 인간 검토자와 전통적인 퍼징이 놓친 미묘한 메모리 처리 오류를 찾아낼 수 있음을 보여줍니다. Wiz는 언어 모델이 다양한 PHP 버전, 구성 및 메모리 레이아웃에 맞게 익스플로잇을 조정하는 데 도움을 줄 수 있으므로 AI가 공격자의 장벽도 낮춘다고 경고했습니다. 이로 인해 연구원들이 공개하기 전에 비공개로 유지 관리자와 협력하여 패치를 작업하는 조정되고 책임감 있는 공개가 더욱 중요해졌습니다. OpenAI는 널리 사용되는 소프트웨어의 치명적인 취약점을 다루기 위한 5단계 프레임워크를 제안했으며, 관리자가 자신의 노출 여부를 파악할 수 있도록 Codex 스킬 형태로 PHP 버전 검사기를 출시했습니다.

사이트 소유자를 위한 실질적인 조치

모든 서버, 컨테이너 이미지 및 공유 호스팅 플랜에서 실행 중인 PHP 버전을 확인하십시오. 사용 중인 분기에 따라 8.5.12, 8.4.27, 8.3.36 또는 8.2.35로 업그레이드하고, 새 런타임이 로드되도록 웹 서버와 PHP 워커를 다시 시작하십시오. PHP 8.1 및 이전 버전에서 벗어나십시오. 즉시 업데이트가 불가능한 경우 NSA 지침을 따르고 패치가 적용될 때까지 사이트를 오프라인으로 전환하는 것을 고려하십시오. 업데이트 후에는 서버 메모리에 노출되었을 수 있는 자격 증명과 API 키를 교체하고, 비정상적인 요청이 있는지 로그를 검토하십시오.