PHP 최신 두 개 취약점이 20여 년간 전 세계 웹사이트에 숨어 있었던 사실이 드러났다. 오픈AI와 구글의 보안업체 위즈(Wiz)가 각각 AI 에이전트를 동원해 결함을 찾아내 21일(현지시간) 공개했고, 미국 국가안보국(NSA)은 즉시 경보를 발령했다.

전 세계 웹사이트의 상당수가 구동에 쓰는 서버 측 언어 PHP에서, 2004년 출시된 PHP5 이후 모든 버전에 영향을 미치는 치명적 결함이 확인됐다. 공격자가 성공하면 서버 파일시스템이나 연결된 데이터베이스에 접근할 수 있는 수준이다.

오픈AI 산하 '패치 더 플래닛' 계획에 참여한 보안업체는 GPT-5.6 솔을 이용해 결함 하나를 찾아냈고, 구글 위즈 팀은 자체 에이전트 '위즈 아틀라스'와 제미나이4 아르곤, GPT-5.6 솔을 함께 활용해 여러 취약점을 추가로 발견했다. PHP 8.1 이하 버전은 이미 지원이 종료된 상태로, 권장 버전은 8.5.12다.

오픈AI와 위즈 모두 PHP 재단과 사전 조율을 거쳐 패치를 준비한 뒤 공개했으며, 위즈는 오토매틱·아카마이·AWS·클라우드플레어·패스틀리·임퍼바·마이크로소프트·버셀 등 관련 업체에 감사를 표했다. NSA는 즉시 패치가 어려운 서버는 패치 전까지 아예 오프라인으로 돌리라고 권고했다.

위즈는 공식 설명에서 "LLM은 익스플로잇을 서로 다른 PHP 버전과 설정, 메모리 구조에 맞게 조정하는 작업을 도울 수 있다"고 지적하며 AI가 결함 발견뿐 아니라 악용 난도까지 낮출 수 있다는 점을 함께 짚었다.

오픈AI 측은 연구진이 해커보다 먼저 결함을 찾았으며 아직 실제 악용 사례는 보고되지 않았다고 밝혔지만, 공개 직후부터는 패치 속도와 공격 시도 사이의 경쟁이 시작된 셈이라고 외신은 전했다.

기사에 따르면 워드프레스 등 PHP 기반 대형 서비스들은 자사 소프트웨어 자체에는 결함이 없다고 선을 그었지만, 수천만 개 사이트가 영향권에 있는 만큼 패치 적용 여부가 당분간 보안 업계의 주요 관전 포인트가 될 전망이다.

출처: https://techcrunch.com/2026/10/21/php-armageddon-openai-googles-wiz-find-ancient-holes-panicking-the-internet/참고: https://www.wiz.io/blog/php2shell-php-rce