PHP 엔진의 치명적 취약점, AI 도움으로 전 세계 웹사이트 70% 해킹 위협 노출
보안 연구원들은 전 세계 웹사이트의 약 70%를 구동하는 기반인 PHP 프로그래밍 언어 엔진에서 두 개의 치명적인 취약점을 발견했다고 발표했습니다. 보안 연구 기업 Wiz의 보고서에 따르면, 이 취약점들은 CVE-2026-109618 및 CVE-2026-109619로 식별되었으며, 통칭 PHP2Shell로 불립니다. 이 취약점들은 CVSS v4.0 점수 체계에서 9.2점의 위험 등급을 받았습니다.
Calif.io는 OpenAI의 GPT-5.6 Sol 모델을 사용하여 취약점 중 하나를 발견했으며, Wiz는 구글의 Gemini 4 Argon 모델 및 GPT-5.6 Sol 모델과 협력하여 Wiz Atlas 도구로 두 취약점을 모두 독자적으로 찾아냈습니다. 또한 Cloudflare 보고서에 따르면, Quarkslab과 같은 다른 보안 기관들도 10년 넘게 다양한 PHP 버전에 존재해 온 이러한 소프트웨어 결함을 발견하는 데 참여했습니다.
10년 동안 잠복해 있던 보안 결함
문제의 근원은 PHP 엔진이 오류를 처리하는 방식에 있습니다. 프로그램 요청이 실패하거나 메모리가 부족할 때, 엔진은 이전에 해제된 메모리에 대한 참조(Use-After-Free)를 남길 수 있습니다. 동일한 작업자가 처리하는 다음 요청이 해당 참조를 유효한 것으로 처리할 수 있는 것입니다.
연구 결과, 공격자들은 이러한 동작과 유형 혼합(Type-confusion) 결함을 결합하여 WordPress, Drupal, Joomla와 같은 유명 플랫폼에서 로그인 없이 민감한 데이터에 접근하거나 원격으로 악성 코드를 실행할 수 있음이 입증되었습니다. 연구원들은 일부 취약한 코드가 PHP 5.4 버전까지 거슬러 올라간다고 확인했습니다. 이러한 결함이 수년간 숨겨져 있었던 이유는 여러 취약점을 결합하여 성공적인 공격을 만들어내기가 매우 어려웠기 때문이며, 인공지능이 며칠 만에 발견 과정을 가속화하는 결정적인 역할을 했습니다.
대응 속도 및 패치 배포
대응 과정은 8월 19일 Wiz가 첫 번째 취약점을 발견하고 이후 며칠 내에 Drupal과 WordPress에서 코드 실행이 가능함을 확인하면서 시작되었습니다. 8월 24일 PHP 보안 팀에 공식적으로 통보되었으며, Cloudflare, Google Cloud, AWS, Microsoft, Akamai 등 주요 기업들과의 긴밀한 조율을 거쳐 10월 21일에 수정 버전이 배포되었습니다.
개발자와 시스템 관리자에게 실질적으로 달라지는 점
PHP는 개발 팀과 시스템 관리자가 즉시 업데이트해야 하는 보안 버전인 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 출시했습니다. Linux 배포판이나 관리형 호스팅 제공업체를 사용하는 경우, 공급업체에 문의하여 백포팅(Backporting)이 적용되었는지 확인하는 것이 좋습니다.
이와 더불어 OpenAI는 인공지능이 발견한 취약점에 대응하기 위한 5단계 선제적 프레임워크를 제안했습니다. 이 프레임워크는 검증, 모델을 통한 고급 테스트, 유통업체 및 서비스 제공업체에 대한 데이터의 단계적 배포, 그리고 정부 기관 및 중요 인프라로의 전달 과정을 포함합니다. 또한, 회사는 취약한 버전을 확인하기 위해 로컬에서 PHP 버전을 검사하는 도구를 제공했습니다. 아울러 웹 방화벽(WAF)과 같은 보호 도구는 임시 방어 계층일 뿐이며, 서버의 실제 코드 업데이트를 대체할 수는 없다고 경고했습니다.
뉴스 출처
The New Stack - Software Development
원문 보기 ↗