PHP 취약점 2건 심각도 9.2, 오픈AI 코덱스 시큐리티가 발견 기여

PHP 엔진에서 원격 코드 실행이 가능한 심각도 9.2점짜리 취약점 2건이 공격자보다 먼저 발견돼 패치가 마련됐다. 오픈AI(OpenAI)는 자사 보안 도구 코덱스 시큐리티(Codex Security)가 발견에 기여했다고 21일 밝혔다.

발견에는 보안 연구 조직 Calif와 위즈(Wiz) 연구진도 참여했다. 취약점은 CVE-2026-109618과 CVE-2026-109619로 식별됐고 두 건 모두 CVSS 9.2점을 받았다. CVSS는 취약점 심각도를 0~10점으로 매기는 공통 점수 체계로, 9점대는 가장 높은 위험 구간에 속한다. 이 내용은 크립토브리핑이 전했다.

두 취약점은 원격 코드 실행(RCE)과 메모리 정보 노출을 허용한다. 원격 코드 실행은 공격자가 멀리서 서버에 자신의 명령을 실행하는 것이고, 메모리 정보 노출은 서버 프로세스 메모리에 담긴 민감한 데이터를 읽어내는 것을 뜻한다. 인증 절차가 필요 없어 로그인 정보 없이도 공격을 시도할 수 있다. 영향 범위는 PHP 5.4.0까지 거슬러 올라가는 여러 릴리스에 걸쳐 있다.

원인은 메모리 안전성 문제다. PHP가 메모리 부족(out-of-memory) 상황을 처리하는 방식과 요청 사이에 남아 있는 오래된 전역 상태(stale global state)가 취약점을 만들었다. 원격 코드 실행 동작은 지난 8월 워드프레스(WordPress)와 드루팔(Drupal)에서 독립적으로 검증됐다.

영향 규모에 대한 추정도 나왔다. 크립토브리핑은 PHP에 의존하는 웹사이트의 약 70%가 영향을 받을 수 있다고 전했으나, 이 수치의 산출 기준은 밝혀지지 않았다. 노출 가능성이 거론된 플랫폼은 워드프레스, 드루팔, 미디어위키(MediaWiki)다. 공개 과정은 아마존웹서비스(AWS), 구글($GOOGL) 클라우드, 마이크로소프트($MSFT) 등 주요 인프라 기업과 조율됐다.

오픈AI는 이번 사례를 '디펜더스 윈도(Defender's Window)'라고 불렀다. AI 도구가 악의적 행위자보다 먼저 결함을 드러내 방어 쪽에 시간을 벌어줄 수 있다는 구상이다. 코덱스 시큐리티는 오픈AI의 보안 특화 도구이며, 발견의 공은 오픈AI와 Calif, 위즈 연구진이 나눠 가졌다.

오픈AI는 이번 취약점을 근래 가장 중대한 보안 사고 중 하나로 평가하고 사이버 방어 인력 지원에 10억달러(약 1조3260억원)를 투입하겠다고 밝혔다. 지원금은 데이브레이크(Daybreak) 프로젝트를 통해 집행된다.

패치를 둘러싼 권고도 나왔다. PHP 개발진이 21일(현지시간) 패치를 공개한 가운데 유럽과 영국의 보안 기관은 패치를 바로 적용하지 못하는 서버를 공용망에서 분리하거나 내리라고 권고했다. 크립토브리핑은 조치가 지연되면 대규모 보안 사고로 이어져 이용자 신뢰와 기업 재무에 피해를 줄 수 있다고 전했다.

PHP 기반 사이트 운영자의 기본 대응은 패치된 PHP 버전으로의 업데이트다. 특히 워드프레스와 드루팔 운영자는 서둘러 조치할 필요가 있다.