PHP2Shell의 여파가 계속 확산되고 있다. 10월 22일 여러 보안 매체가 후속 보도를 내놨다. OpenAI가 '최근 몇 년간 가장 영향력 있는 보안 사건 중 하나'라고 부른 PHP 코어 취약점(CVE-2026-109618, CVE-2026-109619)은 10월 21일 공식 패치가 나오기 전 이미 공격자가 나흘간의 악용 창을 확보한 상태였다. 결함은 PHP 인터프리터의 메모리 처리 로직에 숨어 있으며, 로그인 없이 원격 코드 실행을 가능하게 한다. CVSS 4.0 기준 9.2점이며, 웹사이트를 구동하는 거의 모든 PHP 버전이 영향권에 들어간다.
타임라인: AI 취약점 발굴에서 글로벌 비상사태까지
발견 과정 자체에 AI의 흔적이 남아 있다. 8월 11일 Calif는 OpenAI의 'Patch the Planet' 프로그램에서 GPT-5.6 Sol을 이용해 핵심 결함 중 하나를 발견했다. 8월 24일에는 Wiz가 Gemini 4 Argon, GPT-5.6 Sol, 자체 도구 Wiz Atlas로 두 취약점을 독자적으로 발견·신고했다. 9월 18일에는 OpenAI 자체 보안팀도 독자적으로 신고했다. PHP 프로젝트는 10월 22일 협조 공개를 예정했으나 10월 20일에 세부 내용이 사전 유출되면서, 네 개 패치 버전(8.5.12, 8.4.27, 8.3.36, 8.2.35)은 10월 21일로 앞당겨 공개됐다. 그런데 Amazon Threat Intelligence는 10월 17일 이미 허니팟에 대한 악용 시도를 포착했다. 공격자는 패치보다 나흘이 빨랐다. 공개 후 24시간 동안 Imperva는 48만 건의 공격 요청, 12.2만 건의 공격 세션을 기록했고, 103개국 약 2.2만 개 사이트가 표적이 됐다. 미국 NSA, 영국 NCSC, 백악관은 잇달아 연방 기관과 핵심 인프라 운영자에게 리스크 즉시 평가를 촉구했다.
영향의 크기: 워드프레스만의 문제가 아니다
가장 오해하기 쉬운 점은 이것이 플러그인이나 애플리케이션의 버그가 아니라 PHP 언어 런타임 자체의 취약점이라는 것이다. WordPress, Drupal, Joomla는 가장 눈에 띄는 피해자에 불과하다. Wiz에 따르면 PHP 5.4부터 8.5.11까지 모든 버전이 최소 한 취약점의 영향을 받는다. PHP 프로젝트는 Apache mod_php를 가장 위험한 실행 환경으로 꼽았다. 실증된 공격이 애플리케이션 코드가 실행되기 전에 단 한 번의 미인증 요청으로 성립하기 때문이다. 코드 실행을 넘어 취약점은 Heartbleed처럼 서버 메모리를 읽을 수 있어 비밀번호, 토큰, API 키가 유출될 수 있다.
지금 해야 할 일
PHP 프로젝트의 입장은 명확하다. 업그레이드가 유일하게 안전한 선택지이며, 애플리케이션만 올리고 PHP 런타임을 올리지 않으면 구멍이 막히지 않는다. 당장 올릴 수 없다면 임시 완화책을 적용하라. 애플리케이션이 덮어쓸 수 없는 위치에서 memory_limit을 -1로 하고, post_max_size를 낮게 유지하며, session.upload_progress.enabled를 비활성화하고, PHP 8.5에서는 fatal_error_backtraces를 0으로 한 뒤 모든 워커 프로세스를 재시작하라. 단, 이는 알려진 공격 경로만 막을 뿐 업그레이드를 대체하지 못한다.
PHP2Shell은 기념비적인 사례가 될 것이다. AI 취약점 발굴이 10년 넘게 숨어 있던 심층 결함을 처음으로 재현 가능한 공격 체인으로 바꾼 것이다. OpenAI도 Wiz도 발굴에 여러 모델이 필요했다. 이번엔 공격자와 방어자의 시간 차이가 나흘이었지만 다음엔 더 짧을 수 있다. 사이트 운영자와 운영팀에게 결론은 하나다. PHP 런타임은 지금 올려라. 미루지 마라.
