AI가 발견한 PHP 중대 취약점 'PHP2Shell', 미국 NSA와 영국 NCSC가 긴급 경고

PHP2Shell은 오픈소스 언어 PHP의 코어에서 발견된 중대한 취약점이다. PHP는 추정상 웹사이트의 약 70%에서 사용되고 있다. TechCrunch에 따르면 취약점 2건으로 공격자가 서버의 파일 시스템과 데이터베이스에 침입할 수 있으며, 2004년 공개된 PHP 5 이후 모든 버전에 존재했던 것으로 알려졌다. Latent Space는 PHP 엔진 내부의 메모리 부족과 치명적 오류 처리에서 비롯된 메모리 훼손 문제로 정리했으며, CVSS는 9.2라고 전해지지만 벡터의 세부 사항은 제시되지 않았다고 한다. 발견 경위는 두 갈래다. OpenAI의 Patch the Planet 일환으로 보안 기업 Califf가 GPT-5.6 Sol을 사용해 1건을 찾았다. 별도로 Wiz 팀이 Wiz Atlas, Gemini 4 Argon, GPT-5.6 Sol을 사용해 여러 취약점을 발견했다. Wiz에 따르면 Gemini 4 Argon은 발견, 익스플로잇 개발, 탐지 구축, 패치 검증에 도움이 되었다. 양측은 책임 있는 공개 절차에 따라 공표 전에 PHP 측과 패치를 준비했다. Latent Space는 공표 전 약 2개월 동안 협력이 있었다고 전하지만, 이는 참여자의 설명이며 제3자가 감사한 시계열이 아니라고 주의를 환기한다. 수정은 PHP 메인테이너가 주도했고, OpenAI 팀과 Wiz, Cloudflare 등이 조사와 방어 준비를 지원했다. 각 측의 설명에는 온도차도 있다. OpenAI는 공격자보다 먼저 연구자가 발견했기 때문에 실환경에서 악용 보고는 없다고 밝히며 “Defender's Window”가 생겼다고 설명한다. 한편 Ars Technica는 헤드라인에서 공격자에게 4일간 선행당했다고 보도했다. Latent Space는 OpenAI의 “to our knowledge”라는 표현이 공격자가 사전에 알지 못했다는 증명이 아니라고 본다. 연구자들은 WordPress, Drupal, Joomla에 대한 인증 전 RCE와 원격 메모리 노출을 실증했다고 주장하지만, 모든 환경에서 성립하는 것은 아니다. Wiz는 LLM이 버전이나 구성별 익스플로잇 조정을 도울 수 있어 기존의 악용 난이도가 사라질 수 있다고 경고한다. 대응 면에서 NSA는 업데이트 준비를 촉구했고, 즉시 적용할 수 없는 경우 완전히 완화될 때까지 오프라인 전환을 권고했다. 영국 NCSC도 영국 조직에 즉각적인 대응을 요구했다. Cloudflare는 알려진 공격 경로용 WAF 규칙을 무료 플랜을 포함한 전체 고객에게 제공했지만, 임시 조치이며 패치 적용을 권장한다고 밝혔다. WordPress는 문제가 WordPress 고유의 것이 아니며, 사용자는 호스팅 사업자와 함께 서버 패치를 진행해야 한다고 말했다. PHP 8.1 이하는 이미 지원이 종료되었으므로 해당 사이트는 업데이트가 필요하다. OpenAI는 향후 몇 달간 유사한 발견이 급증할 것으로 보고, 상류에서의 검증·수정부터 공개 후 배포 지원까지 5단계 대응 프레임워크를 제안했으며, 메인테이너에 대한 자금 및 모델 제공 지원도 언급했다. 10월 29일에는 Wiz의 CTO Tomer Schwartz가 AI에 의한 취약점 발견과 악용의 가속으로 “Vulnpocalypse”가 오래된 코드에까지 미칠 것이라고 지적했다. 일부 조직은 패치 적용까지 사이트를 중단했다고 하며, 수작업 패치 적용은 확장할 수 없다는 점도 논의되고 있다. 한편 수정 버전의 정확한 버전 등은 제시된 자료에서 확인할 수 없다. 일본의 PHP 사용자는 자사 사이트가 영향을 받는지 즉시 확인할 필요가 있다. OpenAI는 Codex 스킬(GitHub의 openai/php2shell-checker)을 공개했으며 확인에 활용할 수 있다. 일본에서는 총리의 경고와 기업의 정보 유출도 보도되었으나, 이는 별건의 사안이며 PHP2Shell이 원인이라고 나타나 있지 않다.

보도를 바탕으로 AI가 작성 · 7일 전 업데이트

1. 10월 29일 03:50 · 보도 2건
   PHP 취약점 2건, AI 취약점 발견 가속 경고
   TechCrunch AI: Wiz CTO, AI로 인한 '바움포칼립스(Vulnpocalypse)'가 오래된 코드까지 위협할 것이라고 경고
2. 10월 22일 04:45 · 보도 1건
   GPT-5.6 Sol과 Gemini 4 Argon, PHP 중대 취약점 발견
   The Decoder: OpenAI의 GPT-5.6 Sol과 Google의 Gemini 4 Argon, 수백만 개 사이트에 영향을 줄 수 있는 심각한 PHP 취약점 발견
3. 10월 22일 02:59 · 보도 2건
   OpenAI와 Wiz, AI로 PHP 중대 취약점 발견
   TechCrunch AI: PHP에서 중대 취약점 2건 발견, OpenAI와 Wiz가 AI로 찾아내자 NSA 경고
4. 10월 22일 01:35 · 보도 1건
   OpenAI 모델, PHP 중대 취약점 발견
   OpenAI (X): OpenAI, PHP 취약점 영향 확인용 Codex 스킬 공개
5. 10월 21일 16:00 · 보도 3건
   OpenAI 모델, PHP의 중대한 취약점 발견
   OpenAI News: OpenAI, PHP 중대 취약점 대응 주도하고 Patch the Planet에서 글로벌 공조 체계 제안