AI가 밝혀낸 PHP 핵심 엔진의 원격 코드 실행 취약점

핵심 요약

• Wiz Research가 전 세계 웹사이트의 70%를 구동하는 PHP의 핵심 엔진에서 여러 심각한 메모리 안전 취약점을 발견했다.
• PHP 5.4 이후 지난 10년간 출시된 모든 PHP 버전이 최소 하나의 취약점의 영향을 받으며, 공격자는 서버 제어, 민감한 데이터 탈취, 웹사이트 변조를 할 수 있다.
• 10년 이상 숨겨져 있던 이 취약점들의 개발은 복잡한 메모리 오류 체인과 PHP 메모리 할당 재사용 방식을 고려해야 해서 인간 연구자에게는 거의 불가능했으나, frontier AI 모델들(Gemini 4 Argon, GPT-5.6 Sol, Wiz Atlas)이 이를 실용화했다.
• 발견된 4가지 주요 버그는 △업로드 진행률 역직렬화 메모리 사용 후 해제(CVE-2026-109618, CVSS 9.2) △원격 메모리 공개 △치명적 오류 역추적 메모리 사용 후 해제(CVE-2026-109619) △OPcache 타입 혼동으로, 모두 치명적 오류 처리 중 손상된 PHP 상태가 다음 요청에서 재사용되는 데서 비롯되었다.
• 연구팀은 wordpress:latest, drupal:latest, joomla:latest 최신 컨테이너 이미지에 대해 인증 없이 원격 코드 실행을 시연했으며, 단순한 'Hello World' 앱도 취약할 수 있다.
• 또한 암호, 토큰, API 키 같은 민감한 데이터를 PHP 프로세스 메모리에서 읽을 수 있음을 시연했다.
• AI가 감소시킨 것은 발견이 아니라 공격 적응성이다. 메모리 레이아웃이 다른 배포 환경마다 공격을 수정하는 데 AI는 시간과 전문성 요구도를 크게 낮춰, 이전에 월 단위로 걸리던 작업을 한 주에 완료했다.
• 8월 19일 발견부터 10월 21일 공개까지 Wiz, PHP 팀, Calif, OpenAI가 협력했고, Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft, Vercel 등이 패치 적용 불가 시스템을 위한 감지·완화 방안을 준비했다.
• 방어자들이 주목해야 할 신호는 비정상적인 멀티파트 요청 다음의 메모리 제한 오류, 크기 초과·형식 오류인 PHPSESSID 쿠키, PHP 워커 비정상 종료이며, 패치 적용이 유일한 완전한 완화책이다.
• 이 취약점은 2014년 Heartbleed, 2021년 Log4Shell처럼 보안 기본 가정에 도전하는 사건으로, AI 시대에 오래된 취약점의 실용적 악용 가능성을 바꾸는 분기점이 될 수 있다.