숨겨진 결함이 공유 웹 인프라에 경고를 울리다
숨겨진 결함이 공유 웹 인프라에 경고를 울리다
많은 WordPress 사이트를 포함하여 전체 웹사이트의 약 70%를 구동하는 서버 측 엔진인 PHP에서 최근 두 가지 치명적인 취약점이 발견되었습니다. PHP와 같은 공유 인프라에서 결함이 발생하면 개별 사례가 아닌 수백만 명의 운영자에게 영향을 미치며 인터넷의 광범위한 영역을 동시에 위험에 빠뜨립니다.
CVE-2026-109618 및 CVE-2026-109619로 추적되는 이 두 가지 치명적인 메모리 손상 취약점은 Remote Code Execution (RCE)을 허용합니다. 보안 팀은 CVSS v4.0 척도에서 10점 만점에 9.2점이라는 심각한 점수를 부여했으며, 이는 공격자가 인증 없이 웹사이트 서버를 제어할 가능성이 있음을 나타냅니다. 이 위험은 PHP를 실행하는 서버에 적용되는 것이며, 모든 PHP 사이트가 침해되었다는 주장은 아닙니다.
Calif 및 Wiz와 같은 기업이 참여한 OpenAI의 "Patch the Planet" 이니셔티브는 10년 넘게 잠들어 있던 이러한 결함을 발견했습니다. 초기 유출 이후 PHP 팀은 10월 21일 긴급 패치 릴리스를 가속화하여 버전 8.5.12, 8.4.27, 8.3.36 및 8.2.35를 배포했습니다.
정부와 기관들은 긴급 권고로 대응했습니다. FBI 사이버 부서, NSA 및 영국의 National Cyber Security Centre (NCSC)는 즉각적인 패치를 권장하거나 업데이트가 불가능할 경우 시스템을 오프라인으로 전환할 것을 권고했습니다. 일본의 다카이치 사나에 총리는 X를 통해 직접 조치를 촉구했으며, 네덜란드, 핀란드, 프랑스 정부도 예방 차원에서 일부 서비스를 차단한 것으로 알려졌습니다.
가장 약한 고리는 아무도 관리하지 않는 사이트일 수 있습니다
오래된 포럼이나 지역 예약 시스템과 같이 침해된 소규모 사이트는 특별한 위험을 초래합니다. 이러한 플랫폼은 종종 이름, 주소, 이메일, 심지어 비밀번호와 같은 개인 데이터를 저장하며, 침해가 발생할 경우 이러한 민감한 정보가 노출될 수 있습니다. 이 결함으로 인한 구체적인 침해 사례는 확인되지 않았지만, 노출 가능성은 여전히 남아 있습니다.
롱테일 문제가 이러한 위험을 가중시킵니다. 지원되는 PHP 브랜치는 중요한 수정 사항을 받았지만, 샘플을 기준으로 약 46.1%의 사이트가 패치를 전혀 받지 못하는 수명 종료(end-of-life) PHP 버전을 실행하고 있을 수 있습니다. 이러한 관리되지 않는 설치는 뒷문을 무기한 열어두는 것과 마찬가지로 영구적인 취약점이 됩니다.
사용자는 데이터를 보호하기 위해 실질적인 조치를 취할 수 있습니다. 모든 온라인 계정에 고유하고 강력한 비밀번호를 사용하고, 이상적으로는 password manager로 관리하십시오. 보안을 한층 강화하기 위해 가능한 모든 곳에서 다중 인증을 활성화하십시오.
데이터 침해에 대한 우려를 악용하려는 의심스러운 이메일이나 메시지에 주의하십시오. 특정 웹사이트에 대해 우려되는 점이 있다면 운영자에게 직접 연락하여 보안 조치 및 PHP 업데이트에 대해 문의하십시오.
AI가 버그를 발견했고, 시계는 돌아가기 시작했다
AI 지원 코드 분석은 연구원들이 PHP의 미묘한 결함을 발견하는 데 도움을 주었습니다. OpenAI의 "Patch the Planet" 이니셔티브는 보안 기업 Wiz 및 Calif의 독립적인 작업과 함께 두 가지 치명적인 Remote Code Execution (RCE) 취약점을 식별했습니다. Calif는 OpenAI의 GPT-5.6 Sol 모델을 활용했고, Wiz는 AI 지원 분석을 사용하여 10년 넘게 잠들어 있던 두 가지 버그를 표면화했습니다.
이 초기 발견은 중요한 방어적 이점을 제공했습니다. 이를 통해 PHP 관리자, 보안 연구원 및 OpenAI와 같은 기업들은 결함을 검증하고, 공개를 조율하며, 세부 정보가 대중에 퍼지기 전에 패치를 준비할 수 있는 2개월의 시간을 확보했습니다. 이러한 통제된 접근 방식은 표준 관행이며, 수정 사항이 준비되기 전에 공격자가 알려진 취약점을 악용하는 것을 방지합니다.
그러나 이러한 발전은 이중 사용 위험을 강조하기도 합니다. AI는 방어적 발견을 가속화하는 동시에 공격자가 약점을 찾는 데에도 동일한 힘을 실어줍니다. 취약점 세부 정보가 조기에 유출되고 위협 행위자들에 의한 신속한 탐색 보고가 이어지면서, 방어자가 가졌던 시간적 우위는 크게 줄어들었습니다. 조율된 대응에 대한 자세한 내용은 Today's PHP Security Release, and How We're Strengthening PHP Security를 참조하십시오.
심각도 10점 만점에 9.2점으로 평가된 이 취약점들은 8.5.12, 8.4.27, 8.3.36과 같은 버전을 포함하여 지난 10년간의 거의 모든 주요 PHP 릴리스에 영향을 미칩니다. 신속한 패치 작업은 AI가 발견한 결함을 대규모로 해결해야 할 시급성을 강조합니다.
이 글이 마음에 드셨나요? 매일 아침 이런 글을 메일로 받아보세요.
하루 한 통 · 두 번의 클릭으로 구독 취소 · 제3자 추적 없음
패치는 시급하지만, 더 큰 문제는 영구적입니다
운영자를 위한 즉각적인 우선순위: PHP 버전을 식별하고 8.5.12, 8.4.27, 8.3.36 및 8.2.35와 같은 패치된 릴리스를 적용하십시오. 하지만 패치만으로는 충분하지 않습니다. FBI 사이버 부서가 경고했듯이, 공격자가 이미 시스템을 침해하지 않았는지 확인하기 위해 이전 액세스 기록을 조사해야 합니다.
이번 사건은 구조적인 문제를 강조합니다. 인터넷은 거의 30년 동안 널리 사용되어 온 PHP와 같은 노후화된 소프트웨어에 의존하고 있습니다. 제한된 유지 관리 자원과 방대하고 분산된 웹을 업데이트하는 데 따르는 엄청난 어려움으로 인해 취약점이 10년 이상 지속될 수 있습니다.
더 넓은 관점에서의 교훈은 분명합니다. AI는 보안을 강화할 수 있지만, 방어자는 보조를 맞추기 위해 더 빠른 패치, 레거시 시스템에 대한 강력한 지원, 그리고 조율된 공개가 필요합니다. Cloudflare와 watchTowr가 관찰한 바와 같이, 결함이 유출된 지 몇 시간 만에 자동화된 대량 스캔과 적극적인 익스플로잇 탐색이 시작되었으며, 이는 더욱 민첩한 방어의 시급성을 보여줍니다.
자주 묻는 질문(FAQ)
AI로 발견된 PHP 취약점은 무엇입니까?
AI 보조 분석을 사용하는 연구원들은 취약한 서버에서 원격 코드 실행을 가능하게 할 수 있는 두 가지 치명적인 PHP 결함을 발견했습니다.
이러한 PHP 결함이 일반 인터넷 사용자에게 영향을 미칩니까?
사용자가 직접 PHP를 패치하지는 않지만, 취약한 웹사이트가 저장된 개인 정보를 노출할 수 있습니다. 비밀번호를 재사용할 경우 다른 계정에 대한 위험이 증가할 수 있습니다.
웹사이트 소유자는 무엇을 해야 합니까?
사이트가 영향을 받는 PHP 버전을 실행 중인지 확인하고, 관련 보안 업데이트를 설치하며, 서버 로그에서 침해 징후를 검토하십시오.
AI 보조 취약점 발견이 중요한 이유는 무엇입니까?
AI는 연구원이 복잡한 코드를 검사하고 미묘한 결함을 더 빠르게 찾는 데 도움을 줄 수 있으며, 방어자에게 새로운 도구를 제공하는 동시에 공격자가 유사한 기능을 사용할 경우 위험을 높일 수 있습니다.