PHP 치명적 취약점, AI가 발견·위협 동시에
원제: PHP armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet
왜 중요한가
AI가 수십 년간 숨어 있던 취약점을 발굴하는 동시에, 해커의 공격 문턱을 낮추는 양면성을 단적으로 드러낸 사례다.
2026년 10월 21일, 미국 NSA는 PHP에서 두 개의 치명적 취약점을 경고했다. 2004년 PHP 5부터 존재한 이 결함은 인터넷 웹사이트 약 70%, 3,300만 개 이상에 영향을 미친다. OpenAI의 'Patch the Planet' 이니셔티브와 Google의 Wiz팀이 각각 AI를 활용해 발견했으며, PHP Foundation은 패치를 즉시 배포했다.
이번 취약점은 공격자가 서버 파일 시스템이나 데이터베이스에 침투할 수 있게 하는 심각한 결함이다. NSA는 즉각 패치가 불가능한 웹사이트는 서비스를 중단해야 한다고 권고했다. 현재 PHP 8.1 이하 버전은 공식 지원이 종료된 상태로, 최신 버전인 8.5.12로 업데이트할 것을 권장한다.
취약점 발견 경위가 눈길을 끈다. 보안 테스트 기업 Calif는 OpenAI의 'Patch the Planet' 이니셔티브에 참여해 GPT-5.6 Sol을 활용, 결함 중 하나를 발견했다. 별도로 Google 산하 보안 기업 Wiz는 자체 AI 에이전트인 Wiz Atlas, Gemini 4 Argon, GPT-5.6 Sol을 조합해 PHP 내 다수의 취약점을 찾아냈다.
두 팀 모두 책임 있는 보안 연구 관행에 따라 PHP 측과 협력해 패치를 완성한 뒤 공개 발표했다. Wiz는 Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft, Vercel의 협력에 감사를 표했다. WordPress 운영사 Automattic은 이 결함이 WordPress 고유의 문제가 아니라며, 서버 패치 및 웹호스팅 업체와의 협력을 촉구하는 공식 성명을 발표했다.
OpenAI는 해커들이 이 결함을 먼저 발견하기 전에 연구진이 찾아냈다고 밝혔다. 현재까지 실제 악용 사례는 보고되지 않았다. 그러나 Wiz는 블로그를 통해 "AI 이전에는 해커가 이 취약점을 악용하기가 매우 어려웠지만, LLM을 이용하면 다양한 PHP 버전·설정·메모리 구조에 맞게 익스플로잇을 손쉽게 적용할 수 있다"고 경고했다. 이번 사태는 AI가 취약점을 발견하는 도구이자, 동시에 위협 수준을 높이는 요인이라는 점을 명확히 보여준다.