AI가 찾은 PHP 취약점, 수정·대응 혼선

PHP 개발팀은 2026년 10월 21일, 인증 없이 서버에서 코드를 실행당할 수 있는 중대한 취약점 2건의 수정판을 공개했습니다. 같은 날 OpenAI는 이 가운데 1건을 보안 기업 Calif가 AI 모델 GPT-5.6 Sol을 이용해 발견했다고 밝혔습니다. 국내에서는 업무·보육·행정 서비스가 예방 차원에서 중단됐고, 다카이치 사나에 총리는 PHP 업데이트를 준비하라고 당부했습니다.

PHP 자체의 문제는 ‘PHP2Shell’로 불리며, 메모리 부족이나 치명적 오류를 처리하는 과정에서 내부 상태가 불일치해 조건에 따라 원격 코드 실행이 가능했습니다. WordPress는 이번 문제에 대응하기 위해 WordPress 자체를 업데이트할 필요는 없다고 설명하고, 호스팅 사업자의 안내를 확인해 PHP를 업데이트하라고 이용자에게 요청했습니다. Calif의 발견은 OpenAI의 오픈소스 유지보수 지원책 ‘Patch the Planet’의 일환입니다. 보안 기업 Wiz도 별도로 취약점을 발견해 보고했으며, 여러 문제를 결합하고 대상별로 다른 메모리 배치에 맞춰 공격을 조정하는 검증과 디버깅에 AI가 기여했다고 설명했습니다.

PHP 측은 근본 원인으로 이어지는 징후를 2024년에 파악했지만 구체적인 공격 경로를 찾지 못했습니다. 호환성 등을 고려한 수정 방침을 정하기 어렵고 인력도 부족해 대응이 지체됐습니다. 2026년 여름 보고를 통해 영향이 명확해지면서 수정이 최우선 과제가 됐습니다. PHP 유지보수 담당자들이 수정과 배포를 이끌었고, 연구팀과 보안 기업들은 검증과 방어책 준비를 지원했습니다.

PHP Foundation에 따르면 일본 시간 21일 오전 0시쯤 취약점 식별 번호 등이 온라인에 유출돼 수정판 공개 일정이 22일에서 21일로 앞당겨졌습니다. 같은 날 오전 5시쯤 Calif가 공격이 가능함을 보여주는 시연 영상을 실수로 공개했고, 삭제 뒤에도 복사본이 소셜미디어에서 퍼졌습니다. 재단은 이 영상이 공격 코드 개발을 가속했다고 설명했습니다. 오후 4시 41분에는 소프트웨어 배포 기업 Chainguard가 수정 사항이 포함된 이미지를 예정된 공동 공개보다 6시간 넘게 일찍 배포했고, 재단은 공격자가 수정 내용을 분석할 수 있는 상태가 됐다고 지적했습니다.

국내에서는 Chatwork가 21일 밤부터 22일 새벽까지 예방 정비를 했고, 보육·교육 시설용 서비스인 코도몬도 전체 서비스를 중단했습니다. 코도몬은 시설에 등하원 기록부 등으로 대체 운영하라고 안내했으며, 21일 공지에서 이번 문제로 인한 무단 접근이나 정보 유출은 확인되지 않았다고 밝혔습니다. 일본 기상청에서는 22일 오전 일부 기상 데이터 페이지 등을 볼 수 없었지만, 키키쿠루와 태풍 정보, 강우 구름 예보 페이지는 이용 가능했다고 FNN이 보도했습니다. 다카이치 총리는 21일 밤 공개 웹사이트에서 PHP를 사용하는지 확인하고, 같은 날 오후 11시에 공개 예정인 수정 패치를 신속히 적용할 수 있도록 준비하라고 요청했습니다.

Amazon Threat Intelligence는 21일 공격을 유인해 관측하는 ‘MadPot’ 기록에서 17일자 악용 시도를 확인했다고 발표했습니다. 공격 정보를 입수한 경로와 실제 환경에서 공격이 성공했는지는 불분명하다며, 침해 조사를 적어도 17일까지 거슬러 올라가 살펴보라고 요청했습니다. JPCERT/CC는 국내에서 이어지는 무단 접근이 표적마다 다른 알려진 취약점이나 관리 부실을 탐색·악용하는 방식일 가능성을 들며, PHP 취약점 2건 외에도 API와 관리 기능 등을 점검하라고 촉구했습니다. PHP Foundation은 과거 대응 지연을 의사결정과 자원 부족에 따른 구조적 실패로 인정하고 판단 절차를 재검토하고 있습니다. 재단은 AI를 통한 보고가 늘어도 수정 방침 결정과 검토에는 PHP 전반을 잘 아는 기술자가 필요하다며, 기업과 정부 기관 등에 지속적인 재정 지원을 요청했습니다.

PHP 개발팀은 2026년 10월 21일, 인증 없이 서버에서 코드를 실행당할 수 있는 중대한 취약점 2건의 수정판을 공개했습니다. 같은 날 OpenAI는 이 가운데 1건을 보안 기업 Calif가 AI 모델 GPT-5.6 Sol을 이용해 발견했다고 밝혔습니다. 국내에서는 업무·보육·행정 서비스가 예방 차원에서 중단됐고, 다카이치 사나에 총리는 PHP 업데이트를 준비하라고 당부했습니다.

PHP 자체의 문제는 ‘PHP2Shell’로 불리며, 메모리 부족이나 치명적 오류를 처리하는 과정에서 내부 상태가 불일치해 조건에 따라 원격 코드 실행이 가능했습니다. WordPress는 이번 문제에 대응하기 위해 WordPress 자체를 업데이트할 필요는 없다고 설명하고, 호스팅 사업자의 안내를 확인해 PHP를 업데이트하라고 이용자에게 요청했습니다. Calif의 발견은 OpenAI의 오픈소스 유지보수 지원책 ‘Patch the Planet’의 일환입니다. 보안 기업 Wiz도 별도로 취약점을 발견해 보고했으며, 여러 문제를 결합하고 대상별로 다른 메모리 배치에 맞춰 공격을 조정하는 검증과 디버깅에 AI가 기여했다고 설명했습니다.

PHP 측은 근본 원인으로 이어지는 징후를 2024년에 파악했지만 구체적인 공격 경로를 찾지 못했습니다. 호환성 등을 고려한 수정 방침을 정하기 어렵고 인력도 부족해 대응이 지체됐습니다. 2026년 여름 보고를 통해 영향이 명확해지면서 수정이 최우선 과제가 됐습니다. PHP 유지보수 담당자들이 수정과 배포를 이끌었고, 연구팀과 보안 기업들은 검증과 방어책 준비를 지원했습니다.

PHP Foundation에 따르면 일본 시간 21일 오전 0시쯤 취약점 식별 번호 등이 온라인에 유출돼 수정판 공개 일정이 22일에서 21일로 앞당겨졌습니다. 같은 날 오전 5시쯤 Calif가 공격이 가능함을 보여주는 시연 영상을 실수로 공개했고, 삭제 뒤에도 복사본이 소셜미디어에서 퍼졌습니다. 재단은 이 영상이 공격 코드 개발을 가속했다고 설명했습니다. 오후 4시 41분에는 소프트웨어 배포 기업 Chainguard가 수정 사항이 포함된 이미지를 예정된 공동 공개보다 6시간 넘게 일찍 배포했고, 재단은 공격자가 수정 내용을 분석할 수 있는 상태가 됐다고 지적했습니다.

국내에서는 Chatwork가 21일 밤부터 22일 새벽까지 예방 정비를 했고, 보육·교육 시설용 서비스인 코도몬도 전체 서비스를 중단했습니다. 코도몬은 시설에 등하원 기록부 등으로 대체 운영하라고 안내했으며, 21일 공지에서 이번 문제로 인한 무단 접근이나 정보 유출은 확인되지 않았다고 밝혔습니다. 일본 기상청에서는 22일 오전 일부 기상 데이터 페이지 등을 볼 수 없었지만, 키키쿠루와 태풍 정보, 강우 구름 예보 페이지는 이용 가능했다고 FNN이 보도했습니다. 다카이치 총리는 21일 밤 공개 웹사이트에서 PHP를 사용하는지 확인하고, 같은 날 오후 11시에 공개 예정인 수정 패치를 신속히 적용할 수 있도록 준비하라고 요청했습니다.

Amazon Threat Intelligence는 21일 공격을 유인해 관측하는 ‘MadPot’ 기록에서 17일자 악용 시도를 확인했다고 발표했습니다. 공격 정보를 입수한 경로와 실제 환경에서 공격이 성공했는지는 불분명하다며, 침해 조사를 적어도 17일까지 거슬러 올라가 살펴보라고 요청했습니다. JPCERT/CC는 국내에서 이어지는 무단 접근이 표적마다 다른 알려진 취약점이나 관리 부실을 탐색·악용하는 방식일 가능성을 들며, PHP 취약점 2건 외에도 API와 관리 기능 등을 점검하라고 촉구했습니다. PHP Foundation은 과거 대응 지연을 의사결정과 자원 부족에 따른 구조적 실패로 인정하고 판단 절차를 재검토하고 있습니다. 재단은 AI를 통한 보고가 늘어도 수정 방침 결정과 검토에는 PHP 전반을 잘 아는 기술자가 필요하다며, 기업과 정부 기관 등에 지속적인 재정 지원을 요청했습니다.