"오늘 밤 PHP 업데이트하라"…AI가 찾은 14년 묵은 구멍에 日 총리·NSA까지 나섰다

"좋아하는 사이트가 오늘 아침 안 열린다면, 관리자가 졸지 않고 서버를 챙기고 있다는 뜻일 것이다." 웹 프로그래밍 언어 PHP의 치명적 결함을 다룬 에릭 파커의 유튜브 영상(조회 19만회)에 달린 이 댓글은 '좋아요' 1천800개를 받았다. "네덜란드에서는 정부 본인인증 서비스(DigiD)가 이것 때문에 멈췄다"는 댓글도 이어졌다.

21일(현지시간) 오픈AI 공식 블로그에 따르면 보안업체 캘리프(Calif)는 오픈AI의 'GPT-5.6 솔'로 PHP의 치명적 결함을 찾아 신고했고, 클라우드 보안업체 위즈(Wiz)도 같은 결함을 따로 찾아냈다. 'php2shell'로 불리는 두 결함(CVE-2026-109618·109619)은 PHP 5.4 이후 모든 버전에 영향을 주고, 로그인 없이 서버에서 원격으로 코드를 실행할 수 있게 한다. 클라우드플레어는 PHP가 웹사이트의 약 70%에 쓰인다고 설명했다.

그렉 브록먼 오픈AI 사장은 X에 "이 버그는 14년 동안 PHP 안에 있었다"며 "2024년 제한적인 형태가 발견됐지만 당시엔 중요하게 여겨지지 않았다"고 적었다. 공개일은 원래 22일이었지만 세부 내용이 먼저 새어 나가 PHP 개발진이 일정을 앞당겼다. 클라우드플레어는 유출 뒤 실제 공격 트래픽을 관측했다고 밝혔다.

각국 정부도 움직였다. 미국 국가안보국(NSA) 사이버보안 계정의 긴급 공지는 '좋아요' 5만2천개, 조회 700만회를 넘겼다. 다카이치 사나에 일본 총리는 X에서 "오늘 밤 조치해 달라"고 요청했고, 네덜란드 국가사이버보안센터는 패치 전까지 취약한 시스템을 오프라인으로 두라고 권고했다. 국내에서는 한국인터넷진흥원(KISA)이 PHP 8.2~8.5 이용자에게 보안 업데이트를 권고했다. 재경일보에 따르면 박세준 티오리 대표는 "예전에 만들어 두고 잊은 사이트, 외주로 만든 쇼핑몰, 장비 관리 페이지에도 PHP가 숨어 있을 수 있다"고 당부했다.

AI가 찾은 결함을 두고 반론도 나왔다. X에서는 "그 하나를 찾기 전에 엉터리 결과는 몇 개나 냈나"라는 답글이 '좋아요' 67개를 받았고, 오픈AI 글에는 "위즈 리서치가 처음 찾은 게 아니라 독립 연구자가 먼저 발견했다"는 커뮤니티 노트가 붙었다. 오픈AI는 "같은 능력이 공격자의 도구 개발도 빠르게 할 수 있다"며 비슷한 발견이 앞으로 몇 달 동안 크게 늘 것으로 내다봤다. 오픈AI는 내 사이트가 영향을 받는지 확인하는 코덱스(Codex) 스킬을 깃허브에 공개했다.