PHP Armageddon: OpenAI, Google's Wiz find ancient holes, panicking the internet

🖼️ 인포그래픽

🖼️ 4컷 인포그래픽

💡 한 줄 요약

OpenAI와 Google의 Wiz가 AI로 찾아낸 오래된 PHP 중대 취약점 2건에 대해 패치가 배포됐으며, NSA는 즉시 패치할 수 없는 웹사이트를 일시적으로 오프라인으로 전환하라고 경고했다.

📌 핵심 요약

• 미국 국가안보국(NSA)은 PHP의 중대 취약점 2건이 서버 파일 시스템이나 웹앱이 사용하는 데이터베이스 침투를 허용한다고 경고했다. PHP Foundation은 패치를 배포했으며, PHP는 인터넷 웹사이트의 약 70%, 일부 집계로는 3,300만 개 이상에서 사용된다.
• 취약점은 2004년 출시된 PHP 5부터 모든 버전에 존재해 왔다. 기사에 따르면 PHP 8.1 이하는 지원이 종료됐으며, 웹서버를 당시 최신 버전인 PHP 8.5.12로 업데이트하는 것이 권고된다.
• Calif는 OpenAI의 ‘Patch the Planet’ 활동에서 GPT-5.6 Sol로 취약점 하나를 발견했다. Google의 Wiz 팀도 별도로 Wiz Atlas 보안 AI 에이전트, Gemini 4 Argon, GPT-5.6 Sol을 사용해 PHP의 여러 취약점을 찾았다.
• OpenAI와 Wiz는 공개 전에 PHP 측과 패치를 마련하고 검증했다. OpenAI는 연구자들이 해커보다 먼저 발견했으며 실제 악용 보고는 없었다고 밝혔지만, Wiz는 AI가 PHP 버전·설정·메모리 배치에 맞춘 공격 코드 수정을 도울 수 있다고 경고했다.
• 취약점 공개 이후에는 미패치 사이트에 대한 공격과 패치 적용 사이의 시간 경쟁이 시작된다. NSA는 즉시 패치가 어렵다면 사이트를 일시적으로 내리라고 권고했으며, WordPress는 자사에만 해당하는 결함이 아니라며 서버 패치와 웹호스팅 업체를 통한 보호 확인을 요구했다.

🧩 주요 포인트

1. PHP의 광범위한 사용과 오래된 버전까지 이어지는 결함 → 지원 종료 버전의 업데이트 부담이 대규모 웹사이트 보호 문제로 연결된다.
2. AI의 취약점 발견 능력과 공격 코드 수정 능력 → 선제적 방어를 가능하게 하는 동시에 기존의 악용 난도를 낮추는 양면성이 드러난다.
3. 공개 전 공동 패치·검증에서 공개 후 개별 서버 대응으로 전환 → WordPress를 포함한 사이트 운영자와 웹호스팅 업체의 신속한 조치가 중요해진다.

🧠 상세 정리

1. NSA의 경고와 PHP의 광범위한 사용

2026년 10월 21일 TechCrunch 기사에 따르면, 미국 국가안보국(NSA)은 PHP에서 중대 취약점 2건이 발견됐다며 강한 경고를 내놨고 PHP Foundation은 이미 패치를 배포했다. PHP는 웹 애플리케이션에 널리 쓰이는 서버 측 프로그래밍 언어로, 인터넷 웹사이트의 약 70%를 구동하며 일부 집계에서는 사용 사이트가 3,300만 개를 넘는다. WordPress 같은 대중적인 콘텐츠 관리 시스템도 PHP를 사용하므로, 이 문제는 특정 서비스에 국한되지 않는 폭넓은 대응 과제로 제시된다. 취약점은 공격자가 서버 파일 시스템이나 웹앱이 사용하는 데이터베이스에 침투할 수 있게 하며, NSA는 즉시 패치할 수 없다면 사이트를 일시적으로 오프라인으로 전환할 정도로 심각하다고 평가했다.

2. 2004년부터 남아 있던 결함과 버전 갱신 부담

기사에 따르면 두 취약점은 2004년에 출시된 PHP 5부터 모든 버전에 숨어 있었다. 최근에 추가된 기능에서만 발생한 문제가 아니라 오랫동안 유지된 결함이라는 점이 이번 발견의 주요 전환점이다. 또한 PHP 8.1과 그 이전 버전은 더 이상 지원되지 않으므로, 비교적 최신 버전을 사용하지 않는 웹사이트는 버전 갱신 작업을 해야 한다. 기사는 웹서버를 당시 최신 버전인 PHP 8.5.12로 업데이트할 것을 권고하며, 오래된 환경에서는 취약점 대응과 지원되는 버전으로의 이동이 함께 요구된다고 설명한다. 따라서 대응 범위는 결함의 존재를 확인하는 데서 끝나지 않고, 각 사이트가 사용하는 PHP 버전과 실제 업데이트 가능성까지 이어진다.

3. OpenAI와 Wiz가 AI로 찾아낸 취약점

수십 년 동안 드러나지 않았던 결함이 발견된 배경으로 기사는 OpenAI와 Google의 Wiz가 활용한 AI를 제시한다. 보안 테스트 기업 Calif는 오픈소스 소프트웨어의 결함을 찾는 OpenAI의 ‘Patch the Planet’ 활동에 참여했고, GPT-5.6 Sol을 사용해 취약점 하나를 발견했다고 OpenAI가 밝혔다. 별도로 조사한 Wiz 팀은 Wiz Atlas 보안 AI 에이전트와 Gemini 4 Argon, GPT-5.6 Sol을 활용해 PHP의 여러 취약점을 찾아냈다. 기사에서는 이처럼 각각 진행된 AI 기반 연구가 널리 쓰이는 오래된 소프트웨어의 결함을 드러냈다는 점에 주목한다. 다만 각 도구가 발견과 검증 과정에서 구체적으로 어떤 역할을 나눠 맡았는지까지 설명하지는 않는다.

4. 공개 전 패치 협력과 WordPress의 안내

OpenAI와 Wiz는 취약점을 즉시 공개하는 대신 책임 있는 보안 연구 절차에 따라 PHP 측과 먼저 패치를 마련했다. 이후에는 발견 내용을 더 구체화하고 패치를 시험하기 위해 함께 작업했으며, 여러 기업도 이 과정에 참여했다. Wiz는 Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft, Vercel에 감사를 표했다. PHP를 사용하는 WordPress 역시 별도 성명에서 이번 결함이 WordPress에만 해당하는 문제는 아니라고 설명했다. WordPress는 자사 콘텐츠 관리 시스템을 사용하는 사이트도 서버를 패치하고 웹호스팅 업체와 협력해 보호 여부를 확인해야 한다고 밝혀, 대응의 초점이 사이트가 사용하는 서버 환경에 있음을 분명히 했다.

5. 실제 악용 보고 부재와 AI의 양면성

OpenAI는 연구자들이 해커보다 먼저 결함을 발견했으며, 실제 환경에서 악용됐다는 보고는 없었다고 밝혔다. 기사는 이러한 상황의 배경으로 AI가 등장하기 전에는 해당 결함을 공격에 활용하기가 매우 어려웠다는 점도 제시한다. 그러나 Wiz는 대규모 언어 모델이 서로 다른 PHP 버전과 설정, 메모리 배치에 맞춰 공격 코드를 수정하도록 도울 수 있어 기존의 난도가 더 이상 같은 장벽이 되지 않는다고 경고했다. 따라서 실제 악용 보고가 없었다는 설명은 공개 이후에도 위험이 낮게 유지된다는 보장으로 제시되지 않는다. 기사의 핵심 해석은 AI가 결함을 선제적으로 찾아 예방에 기여하는 동시에, 같은 결함의 악용 가능성을 높여 위험을 키우기도 한다는 것이다.

6. 공개 이후 시작된 패치와 공격의 시간 경쟁

취약점이 공개되면서 공격자들도 문제의 존재를 알게 됐고, 기사는 수천만 웹사이트의 패치 적용과 미패치 사이트를 겨냥한 공격 사이에 시간 경쟁이 시작됐다고 설명한다. 공개 전에 연구자와 PHP 측이 패치를 마련했더라도, 실제 보호를 위해서는 개별 서버에 이를 적용하는 후속 조치가 필요하다. 특히 지원이 종료된 PHP를 사용하는 사이트에는 버전 갱신 작업도 남아 있어, 패치가 배포됐다는 사실만으로 대응이 완료되지는 않는다. 이러한 맥락에서 NSA는 PHP 웹사이트를 즉시 패치할 수 없다면 패치가 가능해질 때까지 오프라인으로 전환하는 편이 낫다고 권고했다. 기사는 이 권고를 반복하며, 공개 이후 대응 속도가 중요해졌다는 점으로 논의를 마무리한다.

🧾 핵심 주장 / 시사점

• PHP처럼 널리 쓰이는 소프트웨어에서는 오래 잠복한 결함 하나가 광범위한 운영 대응으로 이어지며, 지원 종료 버전의 존재가 업데이트 부담을 더한다.
• AI를 통한 선제적 발견과 실제 악용 보고의 부재는 방어 측의 성과이지만, AI가 공격 코드 수정도 돕는다는 점에서 공개 이후의 위험까지 해소하지는 않는다.
• 공동 연구와 패치 배포는 대응의 출발점이며, WordPress의 안내처럼 개별 서버와 웹호스팅 환경에서 패치를 적용해야 보호로 이어진다.

✅ 액션 아이템

• PHP 8.1 이하 사용 여부를 확인하고, 권고된 PHP 8.5.12로의 업데이트 추진.
• WordPress 사이트의 서버 패치 적용과 보호 상태를 웹호스팅 업체와 확인.
• PHP 취약점을 즉시 패치하기 어려운 사이트는 NSA 권고에 따라 패치 가능 시점까지 일시적인 오프라인 전환 검토.

❓ 열린 질문

• PHP 8.1 이하를 사용하는 사이트가 PHP 8.5.12로 업데이트하는 데 어떤 제약이 있는가?
• WordPress 사이트의 서버 패치 적용과 보호 상태를 웹호스팅 업체를 통해 어떻게 확인할 수 있는가?
• 공개 전 실제 악용 보고가 없었던 PHP 취약점이 공개 이후 공격에 활용됐는가?