PHP2Shell, AI가 찾아낸 PHP 취약점에 세계 웹사이트 70%가 밤새 패치했다
PHP로 돌아가는 홈페이지는 지금 패치 대상이다. AI가 찾아낸 심각 취약점 2건의 수정판이 한국시간 21일 밤 11시에 나왔고, 국내 경보도 '주의'로 올랐다.
Daniel Moon3분 읽기
연재 · 1화내 워드프레스·홈페이지도 위험할까? AI가 찾아낸 PHP 취약점, 지금 뭘 해야 하나목록접기
연재 소개·전체 목록
핵심 요약
- PHP 개발진이 2026년 10월 21일 심각 취약점 2건(PHP2Shell)을 고친 버전을 배포했다. 한국시간 21일 밤 11시다.
- 최고 심각도는 CVSS 9.2이고, PHP 5.4부터 영향을 받는다. 워드프레스·드루팔에서 로그인 없이 서버를 장악하는 공격이 확인됐다.
- 결함은 Wiz와 OpenAI 주도 연합의 AI가 찾았다. AI를 쓰면 연구자 1명이 공격 코드를 일주일 만에 완성했다.
- 과기정통부·KISA는 22일 오후 12시 민간 사이버위기 경보를 '주의'로 올렸다. PHP 8.1 이하는 공식 패치가 없다.
PHP로 돌아가는 홈페이지와 쇼핑몰은 지금 패치 대상이다. PHP 개발진은 2026년 10월 21일 심각 보안 취약점 2건을 고친 새 버전을 배포했다. 한국시간으로는 21일 밤 11시다. 취약점 이름은 PHP2Shell이다. 이 결함을 처음 찾아낸 쪽은 AI였다.
PHP는 전 세계 웹사이트 70%가 쓰는 서버 언어다(보안기업 Wiz 집계). 워드프레스와 드루팔도 PHP 위에서 동작한다. 워드프레스·카페24·가비아 등으로 블로그나 쇼핑몰을 운영하는 1인 사업자도 영향권에 들어간다. 사이트가 어떤 PHP 버전을 쓰는지가 위험을 가른다.
업로드 처리와 오류 기록, 두 곳이 뚫렸다
첫 번째 결함은 CVE-2026-109618이다. 파일 업로드 진행 상황을 다루는 부분의 메모리 결함이다. 두 번째는 CVE-2026-109619로, 오류 백트레이스와 OPcache 처리에서 나왔다. 둘 중 높은 쪽의 심각도는 CVSS(취약점 위험도를 매기는 국제 점수) 9.2다.
영향 범위도 넓다. 가장 오래된 영향 버전은 PHP 5.4다. Wiz는 이 결함으로 드루팔과 워드프레스에서 무인증 원격코드실행(로그인 없이 밖에서 서버 명령을 실행하는 공격)이 된다는 것을 확인했다.
| 항목 | 값 |
|---|---|
| 공개된 심각 취약점 | 2건 |
| 최고 심각도 | CVSS 9.2 |
| 영향받는 가장 오래된 버전 | PHP 5.4 |
| 패치 버전 | 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35 |
| 공식 패치 없음 | PHP 8.1 이하 |
AI는 결함을 찾고 공격 경로까지 그렸다
Wiz는 자사 AI 도구 Wiz Atlas와 OpenAI 주도 연합의 AI 모델을 함께 썼다. 진행 순서는 다음과 같다.
- 8월 19일: AI로 첫 PHP 취약점 발견
- 8월 20일: 드루팔 대상 무인증 원격코드실행 확인
- 8월 21일: 워드프레스 대상 같은 공격 확인
- 8월 24일: PHP 보안팀에 보고
- 9월 21일: PHP 측 접수, 수정 개발 착수
- 10월 21일: 패치 배포·공개
발견에서 실제 공격 확인까지 이틀이 걸렸다. 연합의 대응 기간은 두 달이었다. 연합에 참여한 AI 모델별 역할 분담은 공개 자료에 자세히 나오지 않는다.
같은 속도가 공격자에게도 열렸다
AI의 한계는 방어자만 쓰는 도구가 아니라는 점이다. Wiz는 AI를 쓰면 연구자 1명이 공격 코드를 일주일 만에 완성한다고 밝혔다. 해외에서는 공개 직후 몇 시간 안에 악용 시도가 수백만 건 들어왔다고 Cloudflare CEO가 전했다. 일부 국가는 정부 사이트를 임시로 닫았다.
국내도 움직였다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 22일 오후 12시 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 올렸다. 함께 낸 대응 수칙은 아래와 같다.
- PHP 사용 현황 확인
- 최신 버전 업데이트
- PHP 8.1 이하는 지원 버전으로 전환
- 즉시 업데이트가 어려우면 임시 조치
- 접속 로그 점검
- 관리자 계정 등 인증정보 교체
- 침해가 의심되면 격리, 신고, 증거 확보 순서로 대응
- 출처가 불분명한 공격 시연 코드(PoC) 실행 금지
보안기업 스틸리언은 사이트 주소만 넣으면 노출 여부를 보는 무료 점검을 열었다.
판단
판단: 8.2 이상 계열을 쓰는 사이트는 표의 패치 버전으로 올리면 된다. PHP 8.1 이하라면 공식 업데이트가 없으므로 상위 버전 전환이 먼저다. 워드프레스 플러그인이 구버전 PHP에 묶여 있다면 전환 전에 호스팅 업체와 호환성을 맞추는 쪽이 안전하다.
오늘 할 일 하나: 호스팅 관리 화면에서 사이트의 PHP 버전을 확인한다. 표의 패치 버전보다 낮거나 8.1 이하라면 그 자리에서 호스팅 고객센터에 업데이트를 요청한다.
출처
관련 글
AI 툴
챗GPT 광고 없애기 요금제, Plus부터 광고가 빠진다
한국 챗GPT 화면에서 광고를 없애는 길은 요금제를 Plus·Pro·Enterprise로 두는 것이다. 광고는 Free·Go에만 붙고, 광고주는 10만 곳을 넘었다.
2026.10.22
AI 툴
챗GPT 광고 89개국 확대, 한국 무료 사용자 화면엔 무엇이 달라지나
오픈AI가 챗GPT 광고 국가를 26개국 늘려 89개국으로 넓혔다. 한국은 이번 추가 목록에 없다. 한국은 2026년 8월부터 이미 광고 대상국이고, 광고는 Free·Go 요금제에만 뜬다.
2026.10.22
AI 툴
대학생이면 1년 무료? 제미나이 학생 혜택의 조건과 결제 시점
만 18세 이상 대학생은 Google AI Plus를 12개월 무료로 받고, 신청은 2026년 12월 31일까지이며 끝나면 월 7,500원이 자동 청구된다.
2026.10.22