AI가 PHP 취약점 악용을 가속화
원제: The PHP Meltdown Shows How AI Makes Bugs More Exploitable
왜 중요한가
AI가 기존에 '악용 불가'로 분류된 취약점을 실전 위협으로 바꾸면서, 보안 패치 우선순위 결정 기준 자체가 흔들리고 있다.
2026년 10월, 보안 연구자들이 AI 도구를 활용해 수년간 묻혀 있던 PHP 취약점 'PHP2Shell'을 발견한 직후, 수백만 건의 악용 시도가 몇 시간 만에 발생했다. Cloudflare 분석에 따르면 취약점 공개 후 즉각적인 공격이 쏟아졌으며, AI가 버그 발견부터 악용까지의 속도를 획기적으로 높인 것으로 나타났다.
보안 기업 Calif의 연구팀이 2026년 8월 초 OpenAI의 'Patch the Planet' 프로그램에 참여하며 frontier AI 모델과 전문 인력을 결합해 PHP2Shell 취약점을 처음 식별했다. 이 취약점의 기반이 되는 일부 문제는 2024년에 이미 발견됐지만, 당시에는 실질적 악용이 불가능하다고 판단되어 방치됐다. 이후 OpenAI와 Google 산하 보안 기업 Wiz도 AI 도구를 통해 독자적으로 같은 취약점을 발견했다.
Wiz의 보안 연구원 Sagi Tzadik은 "PHP 팀이 이 취약점을 수년간 알고 있었지만, 적어도 사람이 직접 악용할 수 없다고 봤기 때문에 수정하지 않았다"고 밝혔다. AI가 '사람은 못 하는 것'을 가능하게 만든 셈이다.
PHP Foundation은 현재까지 실제 피해 사례는 없다고 발표했으며, 공개된 익스플로잇 상당수도 실제로는 작동하지 않는 것으로 보인다. 그러나 Cloudflare는 취약점 공개 직후 수백만 건의 악용 시도가 포착됐다고 밝혔다.
이번 사태는 더 넓은 흐름의 일부다. Microsoft는 이달에만 사상 최대인 1,453건의 보안 취약점을 보안 업데이트에 포함했다. Bank of America는 Anthropic의 Mythos가 발견한 결함을 수정하기 위해 최근 컨설턴트 1,000명을 고용했다. 전직 NSA 해커이자 Hunter Strategy 연구개발 부사장 Jake Williams는 "지난 10년간 소프트웨어에 내재된 장기 버그를 더 많이 보게 될 것"이라면서도 "이런 저비용 취약점의 총량에는 한계가 있다"고 말했다.