OpenAI의 AI, 10년 된 PHP 취약점 발견 후 수정 조율

전 세계 웹사이트의 상당 부분을 구동하는 스크립트 언어인 PHP에서 두 가지 심각한 보안 결함이 발견되어 이번 주 이례적인 글로벌 소동이 벌어졌다. OpenAI와 보안 연구원들에 따르면, 이 버그들은 OpenAI의 AI 도구의 도움으로 발견되었으며, 소프트웨어 유지 관리자, 보안 회사, 클라우드 제공업체, 국가 사이버 보안 기관이 참여한 조율된 긴급 작업으로 수정되었다.

PHP2Shell이라는 별명으로 묶여 CVE-2026-109618 및 CVE-2026-109619로 추적되는 두 취약점은 모두 CVSS v4.0 심각도 척도에서 10점 만점에 9.2점을 받았다. 최악의 경우 공격자는 취약한 서버에서 임의 코드를 실행할 수 있으며, 이는 웹 보안에서 가장 심각한 수준이다. 이 결함들은 10년 이상 코드베이스에 숨어 있었던 것으로 보고되었다.

발견은 AI 모델과 보안 연구원을 결합하여 널리 사용되는 오픈소스 소프트웨어의 약점을 찾는 이니셔티브인 OpenAI의 Patch the Planet 프로그램에서 나왔다. 보안 회사 Calif와 클라우드 보안 회사 Wiz가 8월에 AI의 도움으로 PHP 문제를 독립적으로 드러냈다고 한다. 그 후 누군가가 이 버그를 무기화하기 전에 수정 사항을 준비하기 위한 약 두 달간의 조용한 작업이 이어졌다.

그 계획은 10월 20일 세부 사항이 유출되면서 차질을 빚었다. 이는 조율된 공개 날짜 이전인 것으로 보인다. 유출로 인해 PHP 운영 팀은 긴 밤을 보냈고, 관리자들은 노출을 평가하고 완화 조치를 적용하기 위해 서둘렀다. PHP 재단은 10월 21일 공식 패치를 배포했고, OpenAI는 같은 날 전체 노력에 대한 설명을 게시했다.

이 이야기는 개발자 포럼을 훨씬 넘어 중요하다. PHP는 인터넷 전반의 콘텐츠 관리 시스템, 포럼, 상점을 뒷받침하며, 중국 기술 미디어에서 유통되는 추정치에 따르면 그 도달 범위는 웹사이트의 약 70%에 달한다. 해당 계층의 원격 악용 가능한 결함은 틈새가 아닌 시스템적 위험이며, 그래서 클라우드 제공업체와 정부 보안 기관이 대응에 합류한 것이다.

OpenAI에게 Patch the Planet은 AI가 취약점 연구를 어떻게 바꿀 수 있는지에 대한 선언이기도 하다. 대규모로 버그를 찾는 것은 전통적으로 느리고 수작업이었다. AI 모델은 방대한 코드베이스를 빠르게 스캔할 수 있지만, 더 어려운 부분은 그 뒤를 따르는 인간의 기계 장치다. 발견 사항 검증, 패치 작성, 공급업체 경고, 사용자가 업데이트할 수 있을 때까지 모든 것을 비밀로 유지하는 것. PHP 사건은 유출 압박 속에서 그 기계 장치를 시험했다.

이 사건은 또한 커지고 있는 긴장을 부각시킨다. AI 지원 발견은 더 많은 결함이 더 빨리 표면화될 것임을 의미하며, 모든 프로젝트가 빠르게 대응할 유지 관리자나 자원을 갖고 있지는 않다. 한때 업계의 조용한 구석이었던 조율된 공개 규범은 서로 거의 대화하지 않는 기업과 기관을 포함하는 글로벌 물류 작업이 되고 있다.

일반 사용자와 기업에게 실용적인 조언은 변함이 없다. PHP 설치 및 종속 소프트웨어를 신속하게 업데이트하고 공급업체 권고를 주시하라. 업계에게 주는 교훈은 AI가 이제 보안 공급망의 일부이며, 경쟁은 더 이상 버그를 찾는 것뿐만 아니라 인터넷이 알기 전에 수정하는 것에 있다는 점일 수 있다.