OpenAI '패치 더 플래닛' 가동: GPT-5.6으로 PHP 핵심 취약점 발굴 및 선제 조치

전 세계 웹사이트의 약 70%를 지탱하는 핵심 언어에서 지난 20년간의 모든 버전에 영향을 미치는 치명적인 취약점이 드러나며 전 세계가 긴급 대응에 나섰습니다.

PHP2Shell로 명명된 이번 두 건의 취약점(CVE-2026-109618, CVE-2026-109619)은 해커가 취약한 서버에서 원격으로 악성 코드를 실행할 수 있게 만듭니다. 보안 기업 Wiz는 이를 두고 소프트웨어 역사상 가장 심각한 취약점 중 하나라고 평가했습니다.

AI가 들춰낸 20년 묵은 보안 지뢰

이번 사태의 가장 상징적인 부분은 취약점이 발견된 방식입니다.

OpenAI는 자사의 Patch the Planet 프로젝트 일환으로 연구진이 GPT-5.6 Sol을 사용해 PHP의 핵심 결함을 식별했다고 밝혔습니다. 동시에 보안 기업 Wiz 역시 독립적으로 동일한 두 취약점을 발견해 보고했습니다.

PHP의 방대한 사용 범위를 고려한 OpenAI는 지난 2개월 동안 PHP 메인테이너, Cloudflare, CISA, 백악관 슈퍼인텔리전스 태스크포스 등을 아우르는 연합을 주도했습니다. 이들은 공개에 앞서 방화벽 규칙을 배포하고 패치를 비밀리에 조율했습니다.

하지만 공격자들의 발걸음도 무섭게 따라붙었습니다.

아마존 최고정보보호책임자(CISO) CJ Moses는 공식 패치가 발표되기 며칠 전인 10월 17일, 아마존의 허니팟 시스템에서 이미 PHP2Shell 익스플로잇 시도가 감지되었다고 밝혔습니다.

공개 직후 공격 트래픽은 폭발했습니다. Cloudflare의 Matthew Prince CEO는 공개 전 10시간 동안 수천 건 수준이던 공격 시도가 공개 2시간 만에 수십만 건으로 치솟았고, 밤사이 수백만 건에 달했다고 밝혔습니다.

홀로 패치를 떠맡은 개발자와 닫혀버린 서비스들

인터넷을 구하기 위한 긴급 조치의 최전선에는 오픈소스 개발자의 눈물겨운 헌신이 있었습니다.

언론 보도에 따르면 이번 사태의 공식 패치를 거의 혼자 힘으로 패키징해 배포한 인물은 메인테이너 Ondřej Surý였습니다. 그는 The Atlantic과의 인터뷰에서 웹을 구했다는 담담함 속에서도, AI가 가속화한 보안 취약점 발견 속도가 일선 방어자들을 한계로 몰아넣고 있다고 토로했습니다.

사태 직후 DeviantArt와 4chan이 일시적으로 접속을 차단했고, 인터넷 아카이브 역시 긴급 점검을 거쳤습니다. 네덜란드와 핀란드 일부 정부 기관도 예방 차원에서 웹사이트를 내렸습니다. PHP Foundation의 Elizabeth Barron 총괄 디렉터는 아직 성공적인 원격 코드 실행 피해는 보고되지 않았으나 즉각적인 업데이트가 필수적이라고 강조했습니다.

하지만 모든 서비스가 살아남은 것은 아닙니다.

취약점이 약 20년 전 코드까지 거슬러 올라가다 보니, 업데이트가 중단된 오래된 서비스들은 손을 쓸 방법이 없었습니다. 10년 넘게 서비스되던 일본의 모바일 게임 World Quest와 Save My Demonic World는 패치가 불가능해 영구 서비스 종료를 선언했습니다.

OpenAI는 취약점 진단을 돕기 위해 Codex 스킬 형태의 PHP 버전 체커를 공개하고, 필수 인프라를 운영하는 영세 방어 조직들을 위해 10억 달러 규모의 Daybreak 크레딧 지원책을 내놓았습니다.

왜 중요한가

이번 사건은 AI가 소프트웨어 보안 생태계의 판도를 어떻게 흔들기 시작했는지 보여주는 결정적 분기점입니다.

엔지니어와 기업 관리자에게 당장 주어진 숙제는 명확합니다. 시스템 내부의 레거시 PHP 환경을 즉시 전수 점검해야 합니다. 수백만 건 단위의 자동화 공격이 쏟아지는 상황에서, 패치가 불가능한 구형 서버를 방치하는 것은 시스템의 문을 열어두는 것과 다름없습니다.

업계 전체로 보면 공격과 방어의 속도전이 차원이 다른 단계에 접어들었습니다. 프론티어 AI 모델이 20년 된 거대 오픈소스 코드베이스에서 결함을 순식간에 찾아낼 수 있다는 사실이 입증되었습니다. 이번에는 OpenAI 연합이 한발 앞서 방어 기간을 확보했지만, 아마존이 포착했듯 공격자들의 공격 도구화 속도 역시 실시간에 가깝습니다.

우리는 OpenAI가 구축한 다자간 조율 프레임워크와 10억 달러 지원책이 책임감 있고 현실적인 접근이었다고 봅니다. 하지만 한편으로는, AI가 수초 만에 찾아낸 시스템적 결함을 Surý 같은 소수의 지친 오픈소스 자원봉사자에게 기대어 해결해야 하는 현 인터넷 인프라의 위태로운 민낯도 함께 노출되었습니다. 메모리 안전 언어로의 전환이나 자동화된 복구 시스템이 뒷받침되지 않는다면 방어자들의 피로는 갈수록 극에 달할 것입니다.