The 'Vulnpocalypse' is coming for the internet’s aging code, says Wiz’s CTO

🖼️ 인포그래픽

🖼️ 4컷 인포그래픽

💡 한 줄 요약

Wiz의 Tomer Schwartz는 PHP의 치명적 취약점 2건 대응을 계기로, AI가 오래된 코드의 취약점 발견과 악용 속도를 바꾸면서 수작업 패치의 확장성 문제가 커지고 있다고 경고한다.

📌 핵심 요약

• 2026년 10월 28일 TechCrunch 기사에 따르면, 약 70%의 웹사이트를 뒷받침하는 오픈소스 언어 PHP에서 전주에 치명적 취약점 2건이 발견돼 조직들이 긴급 대응했으며, 일부는 패치가 가능해질 때까지 사이트를 중단했다.
• Google 소유 Wiz에서 Exposure Management & AppSec 부문 CTO를 맡은 Tomer Schwartz는 OpenAI, 연구그룹 Calif, PHP 팀과 함께 취약점 수정 대응에 참여했다.
• 취약점을 발견한 연구진은 AI가 새로운 취약점의 발견과 악용 속도를 바꾸고 있어 이번 사태가 시작에 불과하다고 본다. Schwartz는 AI 없이는 Wiz가 해당 취약점을 찾지 못했을 것이라고 말한다.
• TechCrunch의 Equity 팟캐스트는 맞춤형 도구로 주말 동안 수십 가지 아이디어를 시험한 과정, 10년 넘게 드러나 있던 버그가 악용 가능해진 배경, 조율된 취약점 공개 과정의 정보 유출 문제를 다룬다.
• 방송은 초기 스타트업의 보안 설계와 수작업 패치의 확장성 한계도 논의한다. 미패치 대상과 WordPress 사이트를 운영하는 소규모 사업자의 위험 여부는 청취 주제로 제시되지만, 기사 본문에는 구체적인 답이 없다.

🧩 주요 포인트

1. PHP의 높은 사용 비중과 실제 사이트 중단 → 널리 쓰이는 기반 언어의 취약점이 여러 조직의 서비스 운영에 영향을 줄 수 있음을 보여준다.
2. AI와 맞춤형 도구를 통한 탐색, 10년 넘게 드러나 있던 버그 → 오래된 코드도 발견·악용 조건이 달라지면 보안 위험을 다시 평가해야 한다는 문제를 제기한다.
3. 조율된 취약점 공개의 정보 유출 문제와 수작업 패치의 확장성 한계 → 취약점 발견 이후의 공개·수정 대응도 중요하며, WordPress 운영자의 실제 위험 수준은 추가 확인이 필요하다.

🧠 상세 정리

1. PHP 취약점이 촉발한 긴급 대응

2026년 10월 28일 TechCrunch 기사는 PHP 취약점 사태에 대한 온라인의 관심이 줄었더라도 후속 조치는 끝나지 않았다고 전한다. 기사에 따르면 약 70%의 웹사이트를 뒷받침하는 오픈소스 언어 PHP에서 전주에 치명적인 버그 2건이 발견되면서 여러 조직이 시스템 수정에 나섰다. 일부 조직은 취약점 패치가 가능해질 때까지 사이트를 오프라인으로 전환했다. 이는 실제 서비스 운영에 영향을 준 사건이지만, 본문은 피해 조직의 명단이나 중단 규모, 현재까지의 패치 완료율을 제시하지 않는다.

2. Wiz와 협력 주체들이 참여한 수정 과정

이번 기사는 TechCrunch의 Equity 팟캐스트에서 Rebecca Bellan이 Tomer Schwartz와 나눈 대화를 소개한다. Schwartz는 Google 소유 Wiz에서 Exposure Management & AppSec 부문 CTO를 맡고 있으며, OpenAI와 연구그룹 Calif, PHP 팀과 함께 버그를 고치기 위한 긴급 대응에 참여했다. 방송은 그가 직접 참여한 수정 경쟁의 내부 과정과 초기 스타트업이 보안을 고려해 개발하는 방법을 다룬다. 다만 기사 자체는 방송 소개에 해당하므로, 각 참여자의 구체적인 역할 분담이나 수정 절차의 전체 경과까지 설명하지는 않는다.

3. AI가 바꾸는 취약점 탐색의 속도

취약점을 발견한 연구진은 이번 PHP 사태를 시작에 불과한 것으로 보고 있으며, 그 배경으로 AI가 새로운 취약점의 발견과 악용 속도를 바꾸고 있다는 점을 든다. 방송 소개에 따르면 Schwartz는 AI가 없었다면 Wiz가 해당 버그들을 발견하지 못했을 것이라고 말한다. 또한 맞춤형 도구를 사용해 주말 동안 수십 가지 아이디어를 시험한 과정이 청취 주제로 제시된다. 이러한 설명은 이번 발견에서 AI가 맡은 역할을 강조하지만, 기사에는 기존 방식과 비교한 정확한 속도 차이나 실제 악용 사례의 세부 내용은 담겨 있지 않다.

4. 오래된 버그와 수작업 패치의 한계

방송이 다루는 또 다른 쟁점은 한 버그가 10년 넘게 드러나 있는 상태로 남아 있었던 이유와, 무엇이 달라져 악용할 수 있게 되었는지다. 이는 오래된 코드에 남아 있던 문제가 새로운 발견·악용 조건과 만나는 상황을 살펴보려는 주제다. 기사는 그 조건이 구체적으로 무엇이었는지 설명하지 않으므로, 두 취약점 모두 같은 기간 존재했다거나 AI만으로 악용 가능성이 생겼다고 단정할 수는 없다. 이와 함께 방송은 수작업 패치가 규모 확대를 감당하기 어려운 이유를 논의하며, 취약점 발견 이후의 수정 역량에도 관심을 돌린다.

5. 공개 과정의 유출과 남아 있는 위험 질문

방송 소개는 조율된 취약점 공개 과정에서 정보 유출을 피하기 어려운 이유와 Wiz가 이에 어떻게 대비했는지를 주요 주제로 제시한다. 다만 기사에는 실제로 어떤 정보가 유출됐는지, Wiz가 어떤 구체적 조치를 취했는지에 대한 설명은 없다. 아직 패치하지 않은 대상이 누구인지와 WordPress 사이트를 운영하는 소규모 사업자가 걱정해야 하는지도 방송에서 다룰 질문으로 남겨져 있다. 따라서 본문만으로 모든 WordPress 사이트가 위험하다거나 소규모 사업자는 안전하다고 결론 내릴 수 없으며, 후속 조치가 끝나지 않았다는 설명과 함께 이러한 미확인 사항을 구분해 읽어야 한다.

🧾 핵심 주장 / 시사점

• PHP처럼 널리 쓰이는 기반 언어에서는 취약점 수정 문제가 개별 조직의 서비스 지속 여부와 직접 연결될 수 있다.
• AI를 활용한 발견 역량이 커질수록 오래된 코드의 잠재적 문제뿐 아니라 발견 이후 패치를 수행하는 역량도 중요해진다는 것이 기사의 문제의식이다.
• 기사가 소개하는 방송 주제와 본문에서 확인된 사실을 구분해야 한다. 특히 미패치 대상과 WordPress 운영자의 위험 수준은 기사만으로 확정할 수 없다.

✅ 액션 아이템

• PHP 취약점 2건의 패치 적용 여부와 서비스 운영 영향을 확인.
• AI를 통한 취약점 발견·악용 속도 변화에 비춰 수작업 패치의 확장성 한계를 검토.
• WordPress 사이트를 운영하는 소규모 사업자의 위험 여부와 미패치 대상에 관한 추가 설명을 확인.

❓ 열린 질문

• PHP 취약점 2건에 대해 아직 패치하지 않은 대상은 누구인가?
• 10년 넘게 드러나 있던 버그가 악용 가능해진 배경은 무엇인가?
• WordPress 사이트를 운영하는 소규모 사업자는 이번 취약점으로 어느 정도의 위험에 노출되는가?