AI가 찾아낸 PHP 엔진 취약점, 웹의 70%가 영향권

클라우드 보안 기업 위즈(Wiz) 리서치가 10월 21일 PHP 엔진 자체에서 찾아낸 원격 코드 실행 취약점 묶음 ‘PHP2Shell’을 공개했습니다. 위즈는 발견부터 공격 코드 검증까지 생성형 AI 모델을 썼다고 밝혔습니다. PHP는 위즈 추산으로 전체 웹사이트의 70%에 쓰이는 언어라서, 같은 날 나온 PHP 보안 업데이트를 빨리 적용하는 일이 급해졌습니다.

무슨 일인가

위즈 연구진은 PHP가 치명적 오류, 특히 메모리 부족 오류를 처리하는 과정에서 메모리 안전성 문제가 생긴다는 점을 찾아냈습니다. 실패한 요청이 내부 상태를 망가뜨린 채 남기고, 같은 작업 프로세스가 받은 다음 요청이 그 상태를 다시 쓰면서 메모리가 새거나 오염됩니다. 연구진은 이 결함들을 이어 붙여 인증 없이 서버에서 코드를 실행하는 데 성공했고, 워드프레스(WordPress)·드루팔(Drupal)·줌라(Joomla)에서 시연했습니다. 결함이 PHP 자체에 있어 단순한 애플리케이션도 영향을 받을 수 있다는 것이 위즈의 설명입니다.

세부 내용

공개된 식별 번호는 CVE-2026-109618(업로드 진행률 처리 중 해제 후 사용 및 원격 메모리 노출)과 CVE-2026-109619(치명적 오류 역추적 과정의 해제 후 사용 및 OPcache 타입 혼동) 두 건입니다. 위즈는 최근 10년 사이 나온 모든 PHP 버전에 이 중 하나 이상이 들어 있다고 밝혔습니다. 위즈는 자사 도구 위즈 아틀라스(Wiz Atlas)와 구글의 제미나이 4 아르곤(Gemini 4 Argon), 오픈AI의 GPT-5.6 솔(GPT-5.6 Sol)을 썼습니다. 모델들은 PHP 버전·설정·메모리 배치에 맞춰 공격 코드를 고치고, 테스트 실패 원인을 분석해 수정을 반복했습니다. 위즈는 예전이라면 세계 정상급 팀이 몇 달 걸렸을 일을 연구자 한 명이 일주일 만에 끝냈다고 설명했습니다(자체 발표 기준).

왜 중요한가

같은 도구는 공격자 손에도 들어갑니다. 취약점을 찾고 공격 코드를 다듬는 시간이 몇 달에서 며칠로 줄면, 패치 공개와 실제 공격 사이의 간격도 그만큼 짧아집니다. 같은 날 Node.js도 취약점 10건을 고친 보안 업데이트를 냈고, 그중 고위험 1건은 오픈AI 코덱스 시큐리티(Codex Security) 소속 연구자 명의로 보고됐습니다. 구글 딥마인드의 라루카 아다 포파 제미나이 보안 총괄은 “제미나이 4 아르곤으로 위즈 팀은 프런티어 AI가 왜 사이버 방어의 판도를 바꾸는지 보여줬다”고 말했습니다.

무엇을 해야 하나

위즈는 PHP 보안 업데이트 적용만이 완전한 해결책이라며 즉시 패치를 권고했습니다. 당장 패치가 어렵다면 메모리 한도 오류가 뒤따르는 비정상 멀티파트 요청, 반복되는 HTTP 500 응답, 지나치게 크거나 형식이 깨진 PHPSESSID 쿠키, 설명되지 않는 PHP 작업 프로세스 교체를 살펴야 합니다. 클라우드플레어(Cloudflare)·패스틀리(Fastly)·구글·버셀(Vercel) 등은 임시 방어책이나 안내를 내놓았습니다.