OpenAI의 Patch the Planet, GPT-5.6 Sol로 PHP 코어 취약점 PHP2Shell 발견, 약 2개월간 협력 대응
[AINews] OpenAI’s Patch the Planet program is 1 of 2 parties to discover PHP2Shell vulnerabilities in core PHP affecting 70% of the web, using GPT-5.6 Sol; coordinated response over 2 months
OpenAI의 Patch the Planet에 참여하는 Calif 연구자들이 GPT-5.6 Sol을 사용해 PHP 코어의 메모리 손상 취약점 PHP2Shell(CVE-2026-109618, CVE-2026-109619)을 발견했다. Wiz도 별도로 Gemini 4 Argon과 GPT-5.6 Sol 등을 통해 같은 결함을 발견했다고 알려졌으며, 약 2개월의 조율을 거쳐 공개되었다. Cloudflare는 임시 WAF 완화책을 제공했지만, PHP 본체 패치 적용은 필수라고 설명했다.
PHP2Shell은 PHP 엔진 내부의 메모리 부족 및 치명적 오류 처리에서 비롯된 메모리 손상 취약점으로 알려져 있다. 연구자들은 WordPress, Drupal, Joomla에 대한 인증 전 RCE와 PHP 앱에 대한 원격 메모리 노출을 입증했다고 주장한다. 이는 연구자 자신의 보고이며, 모든 환경에서 같은 공격이 성립하는 것은 아니다. CVSS는 9.2로 전해지지만 벡터의 세부 내용은 공개되지 않았다.
발견은 여러 당사자에 의한 것이다. OpenAI는 Calif 연구자들이 GPT-5.6 Sol로 찾아냈다고 설명했고, Wiz 측 계정은 Gemini 4 Argon이 발견했으며 익스플로잇 체인 작성, 탐지기 작성, 패치 검증에 사용되었다고 밝혔다. 공개 전 약 2개월 동안 메인테이너, 연구자, 보안 사업자, 정부가 협력했다. 다만 이는 참여자들의 설명이며, 제3자가 감사한 시간순 기록은 아니다.
대응 측면에서 Cloudflare는 알려진 공격 경로를 겨냥한 WAF 규칙을 무료 플랜을 포함한 전체 고객에게 제공했고, 임시 조치라며 UTC 14:00 패치 적용을 권고했다. NSA는 업데이트를 준비하고, 완화가 어려운 경우 시스템 중단을 권고했다. OpenAI는 사이트 영향 확인을 돕는 Codex 스킬 저장소도 공개했다. 한편 수정 버전의 정확한 번호, 공개 전 유출된 정보의 내용, 각 서비스 중단의 원인은 제시된 자료만으로는 확인할 수 없는 것으로 정리된다.
기사는 AI의 역할과 관련해, 실제로 동작하는 익스플로잇과 패치 검증이 보고되었다는 점에서 근거가 강하다고 본다. 다만 OpenAI의 'to our knowledge'라는 표현은 공격자가 사전에 알지 못했다는 증명이 아니라고 주의를 환기한다. 일본에서는 총리의 경고와 기업의 정보 유출이 보도되었지만, 이는 별개의 사안이며 PHP2Shell이 원인이라고 제시된 것은 아니다.
출처: Latent Space · latent.space