PHP 5부터 숨은 결함 2건…NSA, 패치 못 하면 사이트 내리라 권고

미국 국가안보국(NSA)이 21일(현지시간) PHP에서 치명적 취약점 2건이 발견됐다며, 즉시 패치하지 못하는 웹사이트는 패치할 때까지 인터넷에서 내리라고 권고했다. 두 결함은 2004년 출시된 PHP 5 이후 모든 버전에 숨어 있었다.

PHP는 웹 서버 쪽에서 돌아가는 프로그래밍 언어다. 테크크런치는 전 세계 웹사이트의 약 70%, 일부 집계로는 3300만 개 이상이 PHP로 운영된다고 전했다. 워드프레스 같은 콘텐츠 관리 시스템(CMS)도 PHP를 쓴다. 두 결함을 악용하면 공격자가 서버의 파일 시스템이나 웹 애플리케이션이 쓰는 데이터베이스에 침투할 수 있다. PHP 재단은 이미 패치를 내놨다.

발견에는 AI가 쓰였다. 보안 테스트 업체 Calif는 오픈AI(OpenAI)의 오픈소스 결함 발굴 계획 'Patch the Planet'에 참여해 GPT-5.6 Sol로 결함 하나를 찾았다고 오픈AI는 블로그에서 밝혔다. 구글($GOOGL)이 인수한 위즈(Wiz) 팀도 자사 보안 AI 에이전트 Wiz Atlas, Gemini 4 Argon, GPT-5.6 Sol을 함께 써 PHP에서 여러 취약점을 찾았다. 두 팀 모두 PHP 측과 패치를 먼저 준비한 뒤 결함을 공개했다. 위즈는 Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, 마이크로소프트($MSFT), Vercel이 패치 검증을 도왔다고 감사를 표했다.

두 취약점은 CVE-2026-109618과 CVE-2026-109619로 식별됐고 모두 CVSS 9.2점을 받았다. 오픈AI는 자사 보안 도구 코덱스 시큐리티도 발견에 기여했다고 밝혔다. 오픈AI는 이번 사안을 근래 가장 중대한 보안 사고 중 하나로 평가하며 사이버 방어 인력 지원에 10억달러(약 1조3260억원)를 투입하겠다고 했다.

실제 악용 여부를 두고는 설명이 엇갈린다. 오픈AI는 연구진이 해커보다 먼저 결함을 찾았고 현장에서 악용됐다는 보고는 없다고 밝혔다. 반면 블룸버그는 이 취약점이 공개 전에 이미 해커에게 악용됐으며 전 세계 2260만 개 이상의 인스턴스가 노출됐다고 보도했다.

테크크런치는 AI가 등장하기 전에는 이 결함들이 해커가 악용하기에 너무 어려웠다고 설명했다. 위즈는 블로그에서 "AI로 이 장벽은 더 이상 장벽이 아니다. LLM이 공격 코드를 PHP 버전, 설정, 메모리 배치에 맞게 조정하도록 도울 수 있다"고 경고했다. 테크크런치는 AI 덕에 발견되고 막을 수 있었지만 위험도 AI 때문에 커진 사안이라고 짚으면서, 공개로 해커도 내용을 알게 된 만큼 수천만 개 사이트를 패치하는 시간 싸움이 시작됐다고 전했다.

워드프레스는 이번 결함이 워드프레스에 국한된 문제가 아니라는 입장을 냈다. 워드프레스 사이트 운영자는 서버를 직접 패치하거나 호스팅 업체와 협력해 보호 조치를 확인해야 한다고 안내했다.

국내 웹 서비스 운영자도 서버의 PHP 버전을 점검해야 한다.

PHP 8.1 이하는 지원이 끝나 현재 버전으로 올리는 작업이 필요하다. 테크크런치는 현재 PHP 버전이 8.5.12이며 이 버전으로 웹 서버를 업데이트하라는 권고가 나왔다고 전했다.