무해하다고 모두가 치부했던 PHP 버그가 사실은 서버를 완전히 장악하는 통로였고, AI 도구를 쓴 연구자가 이를 증명하는 데 2주도 걸리지 않았습니다. PHP2Shell에 대한 IEEE Spectrum의 기사는 주목할 만합니다. 거기서 설명하는 양상, 즉 '그냥 다운'으로 분류되던 오래된 결함이 AI가 어려운 추론을 맡으면 심각해진다는 양상은 한 언어를 훨씬 넘어 적용되기 때문입니다. PHP는 지금도 웹의 상당 부분을 돌리고 있어, 위험에 놓인 사이트들은 무명이 아니었습니다.
결함 자체는 메모리 부족 오류로, 어떤 데이터에 필요한 것보다 적은 공간이 주어지는 것입니다. 그 자체로는 보통 프로그램이 멈출 뿐이어서, 2024년에 PHP Foundation에 보고되고도 고쳐지지 않은 채 남아 있었습니다. 2026년 초, 보안 업체 Calif가 PHP 감사를 제안했고 OpenAI가 그 비용을 댔습니다. 2주도 안 되어 Calif의 한 연구자가 AI 도구로 이 다운을 임의 코드 실행, 즉 대상 기기에서 어떤 코드든 실행할 수 있는 상태로 바꿨습니다. 이후 Wiz와 OpenAI가 결함을 확인하고 더 찾아냈습니다. 수정에는 엔지니어 4명이 두 달을 들였고, 문제는 2026년 10월 말에 공개되었으며 Foundation의 보안 공지는 10월 21일 자입니다. 알려진 바로는 패치가 나오기 전에 공격은 없었습니다.
전문가들의 기술적 지적이 오래 남습니다. Columbia의 Suman Jana는 이런 버그를 악용하는 일을, 메모리의 어디로 뛸지와 어떤 비트를 어떤 순서로 덮어쓸지를 정확히 찾아내는 것이라고 설명합니다. 로켓 과학은 아니지만 고되고 구체적인 추론이며, AI가 이제 그 일을 잘한다고 말합니다. 그는 AI가 혼자서는 할 수 없고, 주로 뛰어난 전문가를 더 빠르게 만들며 바로 그 아래 사람들을 비슷한 수준의 일로 끌어올린다고 조심스럽게 덧붙입니다.
이는 다른 곳에서 본 것과 맞물립니다. OpenAI는 Linux 커널을 상대 로 비슷한 절차를 돌렸고, 저희 GPT-6 Cyber 리뷰에서는 같은 업체가 대규모로 결함을 찾아 악용했다는 주장을 다룹니다. 공통된 흐름은, 발견과 무기화는 점점 싸지는 반면 패치라는 사람의 작업은 그렇지 않다는 점입니다.
이 비대칭이 주의할 점입니다. Jana는 버그를 찾는 일과 고치는 일이 대칭이 아니며, 그 격차가 자금이 없는 오픈소스 프로젝트에 가장 크게 닥친다고 짚습니다. 그는 형식 검증 도구에 기대를 거는데, 예로 AI가 패치와 그것이 작동한다는 검증 가능한 증명을 쓰는 Anthropic의 10월 22일 공개를 듭니다. Johns Hopkins의 Matthew Green은 덜 낙관적이며, 진짜 자금은 공개적 재난 뒤에나 올 것이라고 보고, PHP2Shell은 그 재난이 아니었다고 말합니다. 그의 현실적인 조언, 그리고 지금 대부분의 사이트 운영자가 가진 유일한 방어는, 보안 업데이트를 즉시 설치하는 것입니다.