보안 연구 기업의 한 연구원이 OpenAI의 고급 AI 모델을 활용해 PHP 핵심 시스템의 취약점을 찾아냈다고 Fortune이 처음 보도했다. 이 결함을 악용하면 공격자가 PHP 사이트를 호스팅하는 서버에서 승인되지 않은 명령을 실행할 수 있으며, 데이터가 노출되고 영향을 받은 웹사이트가 완전히 장악될 가능성도 있다.
PHP는 웹 서버에서 실행되며, 스크립트가 사용자 입력을 처리해 브라우저에 표시되는 결과물을 생성한다. 추정에 따르면 전체 웹사이트의 약 70%가 이 언어를 사용하므로, 취약점의 영향 범위는 각 사이트의 개별 코드에 그치지 않는다.
취약점은 개별 웹사이트의 코드가 아니라 PHP의 핵심 시스템과 라이브러리에 있다. 익스플로잇인 PHP2Shell을 이용하면 공격자는 쉘에 접근할 수 있다. 즉, 사이트를 호스팅하는 컴퓨터의 명령줄을 직접 제어해 데이터에 접근하고 시스템을 장악할 수 있다.
이 결함은 여러 곳에서 공유하는 PHP 인프라에 있지만, 실제 노출 여부는 영향을 받는 서버마다 보안 패치를 적용했는지에 달려 있다.
이 취약점은 PHP 핵심 코드에 10년 넘게 존재했다. 보안 연구 기업의 한 연구원은 2026년 8월 AI 모델을 사용해 이를 발견하고, PHP를 관리하는 비영리단체에 알렸다.
이번 발견은 연구자가 취약점을 공개하기 전에 개발자에게 알리는 조율된 공개 절차에 따라 이뤄졌다. PHP 단체가 패치를 공개하기 전에 세부 정보가 유출됐고, Amazon Web Services 관계자들은 해커들이 이미 취약점을 광범위하게 악용하려 시도하기 시작했다고 밝혔다.
이 취약점으로 인해 미국 국가안보국, 사이버 보안 기관, 소프트웨어 업체들이 긴급 경고를 내놨다. 전 세계 정부와 기관들은 2026년 10월 21일 취약점을 해결하기 위해 분주히 움직이기 시작했다.
AI는 보안팀이 취약점을 찾고 패치 개발을 지원하는 데 도움이 될 수 있지만, 공격자도 같은 기능을 활용해 취약한 대상을 검색하고 익스플로잇 도구를 자동화할 수 있다.
일반 인터넷 사용자는 직접적인 영향을 받을 가능성이 낮으며 개인용 컴퓨터에 패치를 적용할 필요도 없다. PHP는 원격 웹 서버에서 실행되기 때문이다. 패치를 미루는 조직은 민감한 데이터가 노출되거나 운영이 중단될 수 있으며, 공격자가 더 큰 네트워크에 침투할 발판을 내줄 수도 있다.
웹사이트나 서버 관리자는 관리 패널이나 웹 호스팅 업체를 통해 PHP가 최신 패치 버전으로 업데이트됐는지 확인해야 한다. 외부 호스팅 업체를 이용하는 사이트 운영자는 제공업체에 패치 적용 여부를 문의해야 한다.