AI가 찾아낸 PHP 치명적 취약점 2건, 홈페이지를 PHP로 돌린다면 지금 업데이트하세요

오픈AI가 2026년 10월 21일, 지난 두 달 동안 웹사이트 제작 언어 PHP의 치명적 취약점 대응을 이끌었다고 밝혔어요. 보안 회사 칼리프(Calif)가 오픈AI의 GPT-5.6 솔 모델로 결함을 찾아냈고, 보안 회사 위즈(Wiz)도 같은 취약점 두 건을 따로 찾아 신고했어요. 수정은 PHP 개발진이 맡았고, 오픈AI와 위즈·클라우드플레어 등은 공개 전에 방어책을 준비하도록 연구·기술 지원과 조율을 도왔어요.

같은 날 PHP 공식 사이트는 "지금 업데이트하라"는 보안 권고를 내고 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 배포했어요. 두 취약점(CVE-2026-109618, CVE-2026-109619)은 로그인하지 않은 사람이 보낸 요청만으로 서버에서 원하는 코드를 실행할 수 있게 하는 종류예요. PHP-FPM, 아파치 mod_php, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 받는 모든 PHP 설치가 대상이고, 특히 mod_php에서는 사이트 프로그램 코드가 돌기도 전에 공격이 걸리는 실제 공격 방법이 확인됐다고 해요.

PHP 8.1 이하는 더 이상 공식 업데이트가 없어서, 리눅스 배포판·장기 지원 업체에 문의하거나 지원되는 버전으로 올려야 해요. 다만 사안이 심각해 PHP 보안팀이 7.4·8.0·8.1용 최소한의 소스 수정본도 따로 내놨어요. 오픈AI는 사이트 주소나 서버에서 PHP 버전이 취약한지 살펴보는 확인 도구를 코덱스 스킬로 공개했는데, 응답 헤더에 버전이 안 보이면 '알 수 없음'으로 나오고 이게 안전하다는 뜻은 아니라고 적었어요.

오픈AI는 이번 일을 최근 기억나는 것 중 가장 파급력이 큰 보안 문제 가운데 하나로 꼽았고, 이 밖에도 고치고 있는 중대 취약점이 여럿 있으며 앞으로 몇 달 동안 이런 발견이 크게 늘어날 것으로 본다고 했어요. 그래서 AI가 찾은 취약점을 여러 기관이 함께 고치는 대응 절차 초안을 내놓고 보안 업계의 의견을 받고 있어요.

정리 시점 이후 상황이 바뀌었을 수 있어요. 정확한 내용은 출처 원문에서 확인하세요.