보안 회사인 Wiz Research는 2026년 10월 21일에 핵심 PHP 엔진의 심각한 취약점 세트를 공개했습니다. 이 결함(총칭하여 PHP2Shell이라고 함)이 전체 웹사이트의 약 70%를 지원하는 소프트웨어에서 인증되지 않은 원격 코드 실행 및 Heartbleed 스타일 메모리 공개를 가능하게 한다고 경고했습니다. PHP 프로젝트는 같은 날 패치를 출시했으며 Wiz는 웹의 막대한 설치 기반에 대한 즉각적인 업데이트를 촉구하고 있습니다.

PHP는 대부분의 인터넷의 중추입니다. PHP는 WordPress, Joomla, Drupal 및 Wikipedia를 실행하는 소프트웨어인 MediaWiki를 지원합니다. 결정적으로 새로 공개된 버그는 PHP의 핵심 엔진에 존재하며 그 위에 구축된 애플리케이션에 존재하지 않습니다. 즉, 자체 애플리케이션 코드가 안전하더라도 사이트가 노출될 수 있다는 의미입니다. 이 이야기에 대한 자세한 내용은 최신 AI 동향를 참조하세요.

취약점이란 무엇입니까?

연구원 Sagi Tzadik, Shir Tamari, Nir Ohfeld 및 Tomer Schwartz가 Wiz에서 작성한 기술 문서에 따르면 공개된 모든 버그는 PHP가 요청 처리 중 치명적인 오류, 특히 메모리 부족 오류를 처리하는 방식에 뿌리를 둔 메모리 안전 문제입니다. 요청이 충돌하면 손상된 내부 PHP 상태가 남을 수 있으며, 오래된 상태를 재사용하는 이후 요청이나 작업자는 메모리 공개 또는 메모리 손상을 유발할 수 있습니다.

조사 결과는 최대 심각도가 CVSS 9.2인 두 가지 CVE로 분류되었습니다.

  • CVE-2026-109618 — 공격자가 원격 프로세스 메모리 공개 및 시연된 체인에서 전체 원격 코드 실행을 위해 활용할 수 있는 업로드 진행 역직렬화 사용 후 해제입니다. Wiz는 WordPress, Drupal 및 Joomla에서 PHP 작업자 메모리의 무단 공개와 사전 인증 RCE를 시연했습니다.
  • CVE-2026-109619 — OPcache 유형 혼동과 결합된 치명적인 오류 역추적 use-after-free가 Drupal 및 WordPress에서 사전 인증 원격 코드 실행을 생성하는 것으로 입증되었습니다.

공격자가 읽을 수 있는 메모리에는 비밀번호, 인증 토큰, API 키, 다른 요청이나 서버 자체에 속하는 인증서가 포함될 수 있다고 Wiz는 말했습니다. PHP 5.4부터 지난 10년 동안 출시된 모든 PHP 버전은 적어도 하나의 취약점에 영향을 받았으며, 회사에서는 이러한 취약점이 PHP에서 발견된 가장 심각한 결함 중 하나라고 밝혔습니다.

AI가 등장하는 곳

Wiz의 보고서에서 가장 중요한 주장은 PHP에 관한 것이 아니라 개발을 활용하기 위해 최첨단 AI 모델이 수행한 작업에 관한 것입니다.

Wiz는 근본적인 결함이 수십 년 동안 존재했지만 악용 가능성을 입증하려면 "인간 연구자가 실제로 달성할 수 있는 것의 가장자리에 있는 매우 복잡한 단계 체인"이 필요하다고 썼습니다. 익스플로잇은 여러 결함을 연결하고 반복적인 테스트와 디버깅을 통해 각 대상의 메모리 레이아웃에 적응해야 했습니다.

회사에 따르면 Frontier AI 모델은 이러한 장벽을 크게 줄여 "오래된 결함을 익스플로잇으로 전환"했으며 Wiz 팀은 몇 주가 아닌 몇 시간 만에 여러 애플리케이션에 걸쳐 작동하는 익스플로잇을 개발하고 조정할 수 있었습니다.

연구원들은 "이 작업에 필요한 시간과 전문 지식이 줄어들면서 복잡성은 더 이상 의미 있는 장벽을 제공하지 못하고 실제로 취약한 부분을 정의하는 방식을 변화시킬 수 있습니다"라고 썼습니다.

AI시대의 전환점?

Wiz는 웹 보안의 두 가지 초기 분수령 순간과 함께 PHP2Shell을 명시적으로 프레임합니다. 인터넷을 보호하는 공유 인프라의 취약성을 노출한 2014년 Heartbleed와 깊이 내장된 소프트웨어 종속성이 얼마나 광범위한 노출을 초래하는지를 밝힌 2021년 Log4Shell입니다. 회사는 PHP2Shell이 ​​유사한 전환점이 될 수 있다고 주장합니다. 이번에는 AI가 오랫동안 알려진 약점의 실제적인 악용 가능성을 어떻게 변화시키는지를 보여줍니다.

그 프레이밍은 PHP 이상으로 중요합니다. 악용이 너무 어렵거나, 너무 느리거나, 너무 전문적이어서 안전하게 접근할 수 없었던 이론적 취약점은 이제 AI 도구로 무장한 풍부한 자원을 갖춘 공격자의 손에 닿을 수 있습니다. 이는 소프트웨어 산업 전반의 국방 예산, 패치 흐름 및 공개 일정에 대한 명백한 영향을 미치는 변화입니다.

업계 간 조정된 수정 사항

공개가 조정되었습니다. Wiz는 검색, 조정 및 패치 검증 작업에 대해 PHP 팀과 OpenAI에 감사를 표하며 OpenAI와 PHP 모두 취약점의 기록 및 공개 프로세스에 대한 자체 기술 문서를 게시했다는 점을 언급했습니다.

Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft 및 Vercel을 포함한 산업 간 그룹은 즉시 패치를 적용할 수 없는 고객을 위한 지침과 즉시 사용 가능한 완화 조치를 준비했습니다. Cloudflare는 10월 21일에 고객을 위해 PHP 취약점에 대한 WAF 보호 기능을 배포했다고 별도로 발표했습니다.

사이트 소유자가 해야 할 일

Wiz의 조언은 무뚝뚝합니다: 즉시 패치하세요. PHP 프로젝트는 2026년 10월 21일에 메모리 안전 취약점에 대한 수정 사항을 출시했으며 지원되는 모든 PHP 배포는 가능한 한 빨리 업데이트되어야 합니다.

즉시 패치를 적용할 수 없는 조직은 CDN, 호스팅 또는 WAF 제공업체가 게시한 완화 조치를 적용해야 하며, 그 중 일부는 첫날부터 익스플로잇 체인을 대상으로 한 규칙을 제공했습니다. WordPress, Drupal 및 Joomla 플릿의 관리자는 이를 우선 패치 주기로 처리해야 합니다. Wiz는 세 가지 플랫폼 모두에 대해 사전 인증 원격 코드 실행을 시연했으며 상위 애플리케이션이 얼마나 잘 유지 관리되는지에 관계없이 취약한 코드 경로가 존재합니다.

더 깊은 교훈은 Wiz가 직접 그린 교훈일 수 있습니다. AI가 수개월의 익스플로잇 엔지니어링을 몇 시간으로 압축할 수 있게 되면 "실질적으로 악용 가능"에 대한 업계의 작업 정의와 책임 있는 패치 일정의 의미가 방금 변경되었습니다.

---

AI 최신 소식

최신 AI 뉴스, 분석 및 혁신을 한 곳에서 확인하세요.

AI 뉴스 더 보기 →