미국 국가안보국(NSA)이 보냈다 놀라운 경고 수요일 PHP에서 두 개의 치명적인 보안 취약점이 발견되었으며, 패치가 이미 PHP 재단에서 발행한.
PHP는 웹 애플리케이션에 널리 사용되는 서버 측 프로그래밍 언어로, 다음의 사이트들이 PHP 기반으로 운영됩니다. 전체 웹사이트의 약 70% 인터넷에서는; 어떤 견해에 따르면 그것은 3,300만 개 이상의 사이트. 또한 WordPress 같은 인기 있는 콘텐츠 관리 시스템에서도 사용됩니다.
NSA는 이러한 취약점이 너무 심각해서 웹사이트를 즉시 패치할 수 없다면 패치가 가능할 때까지 웹에서 내려놓아야 한다고 경고했습니다. 이 취약점들은 공격자가 서버의 파일 시스템이나 웹 앱이 사용할 수 있는 데이터베이스에 침투할 수 있게 합니다.
흥미롭게도 이러한 취약점은 2004년에 출시된 버전 5 이후의 모든 PHP 버전에 숨어 있었습니다. PHP 8.1과 그 이전 버전은 더 이상 지원되지 않으므로, 비교적 최신 버전의 PHP를 실행하지 않는 웹사이트는 업데이트 작업을 해야 합니다. 웹 서버를 현재 버전인 8.5.12로 업데이트할 것이 권장됩니다.
그렇다면 인터넷의 거의 모든 웹사이트에 영향을 미치는, 수십 년간 존재해 온 이렇게 만연한 두 가지 결함은 어떻게 갑자기 세상에 알려지게 되었을까요? 자연스럽게도 AI, 특히 OpenAI와 Google의 Wiz 덕분입니다.
보안 테스트 회사 Calif는 오픈 소스 소프트웨어의 결함을 찾는 OpenAI의 “Patch the Planet” 이니셔티브에 참여했습니다. GPT‑5.6 Sol을 사용하여 결함 중 하나를 발견했으며, OpenAI가 이를 공개했습니다 블로그 게시물에서. 별도로, Wiz 팀 역시 AI, 즉 자사의 Wiz Atlas 보안 AI 에이전트인 Gemini 4 Argon과 GPT-5.6 Sol을 사용하여 PHP에서 다수의 취약점을 발견했습니다.
OpenAI와 Wiz는 모두 책임 있는 보안 연구 관행을 따랐으며, 취약점을 공개적으로 공개하기 전에 PHP와 협력하여 패치를 작업했습니다. 이후 양사는 발견한 내용을 구체화하고 패치를 테스트하기 위해 협력했으며, 도움을 줄 수많은 다른 기업들도 참여시켰습니다.
Wiz는 Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft, Vercel에게 감사를 표했습니다. (WordPress 사이트는 PHP를 사용하지만, WordPress는 취약점이 WordPress에 고유한 것이 아니며 자사 CMS를 실행하는 사이트는 서버를 패치하고 웹 호스팅 업체와 협력하여 사이트가 보호되도록 해야 한다고 밝혔습니다.)
OpenAI에 따르면 이러한 취약점은 해커가 발견하기 전에 연구자들이 먼저 발견했습니다. 따라서 실제 환경에서 악용 사례는 보고되지 않았습니다. 이는 부분적으로, AI 이전에는 이 취약점들이 해커가 악용하기에 너무 어려웠기 때문이기도 합니다. "AI가 등장하면서 이제는 더 이상 장벽이 아닙니다. LLM은 악용 코드를 다양한 PHP 버전, 구성 및 메모리 레이아웃에 맞게 조정하는 데 도움을 줄 수 있습니다", 라고 Wiz는 취약점에 관한 블로그에서 경고했습니다.
즉, 이것은 AI 덕분에 발견되고 예방된 보안 문제인 동시에, AI 때문에만 고위험이 된 문제이기도 합니다.
이제 문제가 공개되었으므로, 해커들은 모든 내용을 완전히 알고 있습니다. 해커가 패치되지 않은 사이트를 공격하기 전에 인터넷이 수천만 개의 웹사이트를 패치하는 경쟁이 시작되었습니다. 따라서 NSA는 PHP 웹사이트를 즉시 패치할 수 없다면, 패치가 가능할 때까지 해당 사이트를 오프라인으로 전환하는 편이 낫다고 안내하고 있습니다.