PHP에서 중대 취약점 2건 발견, OpenAI와 Wiz가 AI로 찾아내자 NSA 경고
PHP Armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet
NSA는 수요일 PHP에서 중대 취약점 2건이 발견됐다고 경고했다. PHP Foundation은 이미 패치를 공개했으며, 권장 버전은 8.5.12다. OpenAI의 협력사 Calif와 Wiz가 AI로 찾아냈다.
이번 취약점으로 공격자는 서버의 파일 시스템과 웹 앱이 사용하는 데이터베이스에 침입할 수 있다. PHP 5(2004년 공개) 이후 전 버전에 존재했던 것으로 알려졌다. PHP 8.1 이하는 이미 지원 대상에서 제외되어, 해당 사이트는 업데이트 작업이 필요하다. NSA는 즉시 패치를 적용할 수 없는 사이트는 패치 적용 때까지 오프라인으로 전환할 것을 권고했다.
발견 경위는 두 갈래다. 보안 기업 Calif는 OpenAI의 오픈소스 소프트웨어 취약점 탐색 프로그램 'Patch the Planet'의 일환으로 GPT‑5.6 Sol을 사용해 1건을 찾아냈다. 한편 Wiz의 팀도 Wiz Atlas, Gemini 4 Argon, GPT-5.6 Sol을 사용해 여러 취약점을 발견했다. 두 곳 모두 책임 있는 공개 절차에 따라 공표 전에 PHP 측과 함께 패치를 준비했다.
Wiz는 Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft, Vercel에 협력에 대한 감사를 전했다. WordPress는 이번 문제가 WordPress 고유의 문제가 아니며, 이용자는 서버에 패치를 적용하고 호스팅 사업자와 협력해야 한다는 성명을 발표했다.
OpenAI는 공격자가 발견하기 전에 연구자가 먼저 찾아냈기 때문에 실제 환경에서의 악용 보고는 없다고 밝혔다. Wiz는 종래에는 악용이 어려웠으나, LLM이 PHP의 버전, 구성, 메모리 배치별 익스플로잇 조정을 지원할 수 있게 되면서 그 장벽이 사라졌다고 경고했다. 공개로 공격자도 정보를 파악한 상황에서 수천만 사이트에 대한 패치 적용이 시급해졌다.
AI를 통한 취약점 발견이 방어에도 공격에도 작용하는 구조를 PHP의 구체적 사례와 NSA의 대응 지침에서 읽어낼 수 있다.
출처: TechCrunch AI · techcrunch.com