IT之家 10월 22일 메시지, OpenAI 회사는 어제(10월 21일) 블로그 게시물을 발표하고, "지구를 수리하다"(Patch the Planet) 프로그램을 통해 보안 연구원들이 PHP 프로그래밍 언어의 두 가지 심각한 취약점을 발견하도록 지원했다고 밝혔습니다.PHP 유지보수 팀, 보안 회사, 클라우드 서비스 제공업체 및 여러 국가의 사이버보안 기관과 공동으로, 취약점이 공개되기 전 약 2개월에 걸친 조정된 수정 작업을 완료했습니다.
보안 회사 Calif는 OpenAI의 GPT-5.6 Sol 모델을 통해 이 중 한 건의 핵심 결함을 발견했습니다. 구글 산하 Wiz는 관련 취약점을 독자적으로 발견하여 보고했습니다. PHP 공식 유지보수자들이 취약점 검증, 수정 개발 및 버전 출시를 주도했으며, OpenAI, Wiz, Cloudflare 등은 연구, 기술 지원 및 기관 간 조율을 제공하여 공개 전에 방어 대비를 완료할 수 있도록 했습니다.
OpenAI는 이번 사례가 공격자보다 먼저 고위험 취약점을 발견한 프런티어 AI의 사례라며, 유지보수자와 방어 측에 이른바 "방어자의 창(defender's window)"을 확보해 주었다고 밝혔다. 다만 회사는 동일한 AI 능력이 공격자에 의해 공격 도구와 익스플로잇을 더 빨리 개발하는 데 악용될 수 있어, 보안 위험과 방어 가치가 공존한다고 인정했다.
IT之家는 이전에 이번에 공개된 두 가지 취약점이 통칭 'PHP2Shell'로 불린다고 보도한 바 있습니다.각각 CVE-2026-109618 및 CVE-2026-109619로 번호가 매겨짐, CVSS v4.0 점수는 모두 9.2이다.
PHP는 전 세계 수많은 웹사이트와 웹 애플리케이션을 지탱하는 오픈 소스 스크립트 언어로, 업계에서는 약 70%의 웹사이트가 이에 의존해 운영되는 것으로 추정합니다.이번 취약점은 인증되지 않은 공격자가 원격으로 코드를 실행할 수 있도록 허용하여, 웹사이트 내용을 변조하거나 민감한 데이터를 읽거나 서버를 장악할 수 있습니다.PHP 재단이 10월 21일 긴급 보안 업데이트를 발표했으며, 수정 버전에는 PHP 8.5.12, 8.4.27, 8.3.36 및 8.2.35가 포함되어 있습니다.
위험 요소를 점검할 수 있도록 지원하기 위해, OpenAI는 Codex 스킬로서 PHP 버전 점검 도구를 공개하여 운영 담당자가 영향을 받을 수 있는 PHP 버전을 식별하고, 공식 업그레이드 가이드와 결합하여 적용 가능한 수정 방안을 확인하도록 했습니다.
OpenAI는 PHP를 사용하는 조직에 가능한 한 빨리 패치를 적용하고, 시스템의 노출 여부를 점검하며, CISA의 위험 우선순위 가이드라인에 따라 긴급 패치, 임시 완화 또는 계획된 업그레이드를 조치할 것을 권고했습니다.
OpenAI는 동시에 10억 달러(IT之家 참고: 현재 환율로 약 66.91억 위안)를 투입하여 "Daybreak for Frontline Defenders"를 통해 보안 자원이 제한적이고 핵심 서비스를 담당하는 조직에 보조 접근을 제공, AI를 활용한 취약점 발견, 시스템 모니터링 및 비상 대응을 지원하겠다고 발표했습니다.
이 회사는 또한 상류 검증 및 수정, 영향받은 기관에 대한 사전 통지, 정부 협력, 제품 간 업데이트 준비, 패치 공개 후 배포 지원 등 5개 단계를 포괄하는 AI 시대를 위한 취약점 대응 프레임워크를 제안했습니다.
관련 독서: