AI가 찾아낸 PHP 치명적 보안 결함…오픈AI·Wiz·클라우드플레어, 글로벌 공동 대응

[CBC뉴스] 전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP의 치명적인 보안 취약점 두 건이 인공지능(AI)을 활용한 보안 연구 과정에서 발견됐다. 오픈AI와 보안업체 Wiz가 취약점을 각각 발견한 가운데 PHP 개발진과 글로벌 기술기업들이 약 두 달에 걸쳐 보안 패치와 사전 보호 조치를 준비한 것으로 나타났다.

21일(현지시간) 오픈AI는 'Patch the Planet: 에이전트가 발견하는 심각한 취약점에 대한 전 세계적 대응 조율'이라는 발표를 통해 PHP 보안 취약점 발견 과정과 국제 공동 대응 내용을 공개했다.

오픈AI에 따르면 보안 연구자 Calif는 'Patch the Planet' 이니셔티브의 일환으로 GPT-5.6 Sol을 활용해 PHP의 심각한 결함을 발견했다. 클라우드 보안업체 Wiz 역시 독자적인 연구를 통해 두 취약점을 모두 발견하고 보고했다.

PHP 유지관리자들이 취약점 수정과 새 버전 배포를 주도했으며 오픈AI, Wiz, 클라우드플레어 등은 기술 연구와 보안 대응, 관련 기관 간 협력을 지원했다.

이번에 발견된 취약점은 CVE-2026-109618과 CVE-2026-109619다. 두 취약점 모두 정상적인 인증 절차를 거치지 않고 원격에서 코드를 실행할 수 있는 문제와 관련돼 있다. PHP 보안팀은 두 취약점의 심각도를 CVSS 4.0 기준 각각 9.2점으로 평가했다.

PHP 개발팀은 21일 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전을 공개하고 즉각적인 업데이트를 권고했다.

이번 보안 문제는 PHP-FPM, Apache의 mod_php, php-cgi, FrankenPHP, LiteSpeed 등 다양한 PHP 실행 환경과 관련돼 있다. 특히 mod_php 환경에서는 애플리케이션 코드가 실행되기 전 인증되지 않은 요청만으로 취약점을 악용할 수 있는 것으로 확인됐다.

오픈AI는 이번 사안을 최근 발생한 보안 문제 가운데 파급력이 큰 사례 중 하나로 평가했다. PHP가 웹사이트와 웹 애플리케이션 운영에 폭넓게 사용되는 만큼 보안 결함이 여러 시스템에 영향을 줄 가능성이 있다는 판단이다.

다만 취약점이 발견됐다는 사실이 모든 PHP 기반 웹사이트의 침해를 의미하지는 않는다. 실제 위험은 사용 중인 버전과 서버 구성, 보안 패치 적용 여부 등에 따라 달라진다.

이번 대응에서 주목되는 부분은 취약점 공개 이전에 여러 기관이 보호 조치를 준비했다는 점이다.

오픈AI는 PHP 유지관리자와 보안업체, 인프라 제공업체 등이 취약점 수정과 검증, 보안 지침 마련에 참여했다고 설명했다. 또한 미국 백악관 초지능 전담팀, 국가사이버국장실(ONCD), 사이버보안·인프라보안국(CISA)을 비롯한 정부 조직 및 국제 협력기관과도 대응 방안을 협의했다.

이러한 협력은 보안 결함이 공개된 이후에야 대응하는 기존 방식에서 벗어나 취약점 공개 전에 수정 사항과 보호 수단을 준비하는 데 초점을 맞췄다.

오픈AI는 이번 경험을 토대로 중대한 소프트웨어 취약점에 대응하기 위한 다섯 단계의 협력 체계를 제안했다.

먼저 소프트웨어 유지관리자와 보안 연구진이 취약점을 검증하고 수정 사항을 개발한다. 이후 영향을 받을 수 있는 조직에 대응 시간을 제공하고, 정부 기관과 협력해 핵심 인프라를 보호한다. 이어 관련 제품과 서비스의 업데이트를 준비한 뒤 보안 지침을 공개하고 실제 패치 배포를 지원하는 방식이다.

특히 취약점 공개 시점을 결정하는 권한은 해당 소프트웨어의 유지관리자가 갖도록 했다. 보안 정보를 사전에 공유하는 과정에서 발생할 수 있는 유출 위험과 시스템 보호에 필요한 준비 시간을 함께 고려하겠다는 취지다.

오픈AI는 AI 기술이 보안 취약점을 찾아내는 데 기여할 수 있지만 같은 기술이 공격자의 악성 코드 개발이나 취약점 악용에도 활용될 수 있다는 점을 인정했다.

오픈AI는 자사가 파악한 범위에서는 이번 PHP 취약점들이 공격자보다 먼저 프런티어 AI에 의해 발견됐다고 설명했다. 이를 통해 개발자와 보안업체들이 취약점 공개 이전에 대응할 시간을 확보할 수 있었다는 것이다.

다만 이는 오픈AI의 설명으로, 실제 공격자가 해당 취약점을 사전에 인지하거나 악용했는지에 대한 모든 가능성이 배제됐다는 의미는 아니다.

오픈AI는 AI 기반 보안 대응 역량을 확대하기 위해 'Daybreak' 프로그램에도 투자하고 있다. 제한된 보안 자원으로 필수 서비스를 보호하는 조직들이 AI 보안 기술을 활용할 수 있도록 10억 달러 규모의 보조금 지원을 약속했다.

오픈소스 소프트웨어 유지관리자를 위한 지원도 추진한다. 보안 취약점 분석에 필요한 고성능 모델 이용 권한과 엔지니어링 지원, 자금 등을 제공해 소규모 개발팀의 대응 부담을 줄인다는 계획이다.

장기적으로는 AI를 활용한 안전한 코드 작성, 메모리 안전성을 갖춘 프로그래밍 언어로의 전환, 수학적 검증, 소프트웨어 실행 환경의 격리 강화 등을 추진할 방침이다.

오픈AI는 앞으로 수개월 동안 AI를 활용한 보안 연구에서 유사한 취약점 발견이 증가할 것으로 예상했다. 이에 따라 취약점 발견 속도뿐 아니라 이를 수정하고 실제 시스템에 적용하는 대응 체계의 중요성도 커질 것으로 보고 있다.

PHP 개발팀은 즉각적인 업데이트가 어려운 경우 일부 서버 설정을 통해 공격 경로를 제한할 수 있지만, 이러한 임시 조치만으로는 완전한 보안을 확보할 수 없다고 강조했다.

이번 사례는 AI가 광범위하게 사용되는 소프트웨어의 결함을 찾아내는 동시에 개발자와 보안업체, 정부기관의 협력 방식에도 변화를 가져올 수 있음을 보여준다. 그러나 실제 보안 확보는 취약점 발견 자체가 아니라 수정된 소프트웨어가 각 서버에 적용되는 과정까지 이어져야 가능하다.

[본 기사는 공개된 보안 발표와 기술 자료를 바탕으로 작성됐다. 취약점 발견 및 보안 패치 발표가 실제 해킹이나 정보 유출 발생을 의미하지는 않는다. AI가 일부 조력했다.]

★ 네티즌 어워즈 투표하러 가기 ▶
★ 전 세계 팬덤의 결집, cbcglobe.com ▶
★ 돈돈돈, 남몰래 혼자 보는 – 돈 되는 뉴스 ▶

▮ CBC뉴스ㅣCBCNEWS 심우일 기자