OpenAI는 21일 "지구 패치"(Patch the Planet) 프로그램을 통해 보안 연구자들이 PHP 언어의 두 가지 심각한 취약점을 발견하도록 지원했으며, 유지보수 팀, 보안 회사, 클라우드 업체 및 여러 국가의 사이버보안 기관과 협력해 공개 전 약 2개월간의 조율된 수정 작업을 완료했다고 발표했다.
두 취약점은 통칭 "PHP2Shell"로 불리며, CVE-2026-109618과 109619로 번호가 매겨졌고, CVSS v4.0 점수는 모두 9.2점에 달한다. 보안 회사 Calif는 OpenAI의 GPT-5.6 Sol 모델을 통해 이 중 한 가지 중요한 결함을 발견했으며, 구글 산하 Wiz는 독립적으로 보고했다. PHP 공식 유지보수자가 검증, 수정 및 배포를 주도했고, OpenAI, Wiz, Cloudflare 등이 연구, 기술 지원 및 기관 간 조율을 제공했다. OpenAI는 이번 사례가 공격자보다 앞서 고위험 취약점을 발견한 최첨단 AI의 본보기이며, 방어 측에 "방어자의 창"을 확보해 주었지만, 동일한 능력이 공격자에 의해 가속적으로 악용될 가능성도 있다고 밝혔다.
웹사이트 70% 피해, 패치 이미 배포
PHP는 방대한 수의 웹사이트를 지탱하는 오픈소스 스크립트 언어로, 업계에서는 약 70%의 웹사이트가 이에 의존해 운영되는 것으로 추산한다. 이번 취약점은 인증되지 않은 공격자가 원격으로 코드를 실행해 콘텐츠를 변조하고, 데이터를 탈취하며, 나아가 서버를 침입할 수 있게 한다. PHP 재단은 이미 21일 긴급 업데이트를 배포했으며, 수정 버전은 8.5.12, 8.4.27, 8.3.36 및 8.2.35를 포괄한다.
운영자들의 점검을 돕기 위해 OpenAI는 PHP 버전 확인 도구를 출시했으며, 동시에 10억 달러를 투입해 "Daybreak for Frontline Defenders"를 통해 자원이 제한적이면서 핵심 서비스를 지키는 조직에 AI 보안 역량을 보조한다고 발표했다. AI가 이어 놓은 이번 글로벌 공동 대응은 취약점 대응을 "공격자보다 앞서는" 새로운 리듬으로 이끌고 있다.