WIRED가 인용한 Cloudflare 분석에 따르면, 새로 공개된 PHP 취약점을 악용하려는 시도가 공개 몇 시간 만에 수백만 건 발생했다. 통칭 PHP2Shell로 불리는 이 취약점에 보안팀과 웹 관리자들은 서둘러 패치를 배포했다.
현재까지 대규모 침해 사례는 보고되지 않았다. PHP Foundation은 해당 버그가 실제로 악용된 사례를 확인하지 못했다고 밝혔으며, 공개적으로 유포되는 공격 코드 중 상당수는 제대로 작동하지 않는 것으로 보인다. WIRED는 영향을 받는 PHP 버전이나 패치 방법을 구체적으로 밝히지 않았다.
AI가 취약점 공략법을 찾는 데 도움
보안업체 Calif의 연구진은 8월 초 취약점을 처음 발견하고 공격 코드를 만들었다. 이 과정에서 OpenAI의 Patch the Planet 프로그램을 통해 최첨단 AI 도구를 일부 활용했으며, PHP에 대한 사람의 전문성도 바탕이 됐다. 이후 OpenAI와 Google 산하 Wiz의 연구진도 AI 도구를 사용해 독자적으로 PHP2Shell 취약점을 찾아냈다.
기반이 된 일부 문제는 2024년에 이미 확인됐지만, 악용하기에는 너무 어려운 것으로 여겨졌다. Wiz의 연구원 Sagi Tzadik은 PHP 팀이 수년 전부터 취약점을 알고 있었지만 사람 공격자가 이를 악용할 수 없어 대응하지 않았다고 말했다. AI는 이전까지 현실적으로 활용하기 어려웠던 취약점을 실제 공격에 쓸 수 있게 만들었다.
압박은 커져도 해킹이 자동으로 이뤄지는 건 아니다
이번 사례는 AI가 취약점 분석과 악용을 빠르게 해 보안팀의 부담을 키울 수 있음을 보여준다. 보안팀은 이미 대량의 취약점을 관리하고 있다. WIRED에 따르면 Microsoft의 해당 월 보안 업데이트에는 역대 최다인 1,453건의 취약점이 포함됐으며, Bank of America는 Anthropic의 Mythos가 찾아낸 취약점을 해결하기 위해 컨설턴트 1,000명을 고용했다.
WIRED가 인용한 연구진은 AI가 오래된 버그를 모두 찾아낼 것이라고 단정해서는 안 된다고 경고했다. Calif의 연구원 Ryan Austin은 간단한 프롬프트만으로 모든 버그를 찾아낼 수 있는 모델은 없다고 말했다. 다른 전문가들도 PHP 취약점을 발견하려면 숙련된 팀이 필요했다고 강조했다. 한 연구원은 PHP가 인터넷에 광범위하게 노출돼 있어 이례적인 공격 대상이 된 것일 뿐, 오래된 소프트웨어의 모든 취약점이 곧 악용될 수 있다는 뜻은 아니라고 덧붙였다.
왜 중요한가
PHP 시스템을 관리하는 사람이라면 공개된 취약점을 심각하게 받아들여야 한다는 점을 WIRED의 보도는 보여준다. 취약점 공개 직후 공격 시도가 잇따랐지만, 성공한 공격은 아직 보고되지 않았다. WIRED는 영향을 받는 버전이나 패치 정보를 구체적으로 밝히지 않았으므로, 관리자들은 시스템의 취약 여부를 추측하기보다 PHP의 공식 안내를 확인해야 한다.
