시큐리티 리서처가 GPT-5.6로 워드프레스 코어의 치명적 제로데이를 찾아냈어요. 단 10시간, 25달러 만에 5억 원짜리 취약점 두 개를 엮어낸 거예요. AI 해킹 시대가 방어자보다 공격자에게 먼저 유리해질 수 있다는 경고예요.
솔직히 이 뉴스 보고 소름이 좀 돋았어요. 사이버보안 회사 서치라이트사이버(Searchlight Cyber)의 애덤 큐스(Adam Kues)가 오픈AI의 최신 모델 GPT-5.6 Sol Ultra한테 워드프레스 코어 소스코드를 통째로 던져주고 "제로데이 찾아봐"라고 시켰거든요. 그것도 하나가 아니라 최대 4개 에이전트를 동시에 돌려서요.
결과요? 10시간 만에 진짜로 찾았어요. CVE-2026-60137(SQL 인젝션)이랑 CVE-2026-63030(REST API 배치 라우트 혼동)을 엮어서 인증 없이도 원격코드실행(RCE)까지 가는 체인을요. 업계에서는 이 취약점 조합에 'wp2shell'이라는 이름까지 붙였는데, 지금 실제로 야생에서 악용되고 있다고 해요.
근데 진짜 놀라운 건 여기부터예요. 큐스가 이 실험에 쓴 비용이 딱 25달러였다는 거요. 반면 제로데이 브로커 시장에서 워드프레스 코어의 인증 전 RCE는 최대 50만 달러(약 6억 9천만 원)까지 받는다고 하죠. 25달러 대 6억 9천만 원, 이 비율 자체가 사이버보안 업계 경제학을 통째로 흔드는 숫자예요.
큐스가 쓴 방법도 흥미로워요. 오픈AI가 예전에 47년 묵은 그래프 이론 난제를 풀 때 썼던 프롬프트 구조를 그대로 가져다 워드프레스 취약점 헌팅에 재활용했대요. 그리고 모델이 버전 히스토리나 이미 알려진 패치 정보를 보고 컨닝하지 못하게 소스코드를 클린 버전으로 스트리핑까지 했다고 하고요. 이 정도면 거의 연구 설계 수준이죠.
워드프레스는 전 세계 웹사이트의 40% 이상이 쓰는 CMS예요. 코어 취약점 하나가 5억 개 이상의 설치본에 영향을 줄 수 있다는 뜻이고요. 그래서 이번 발견이 단순히 "AI 똑똑하네" 수준을 넘어서는 거예요. 방어팀도 AI를 쓰지만, 공격자도 똑같이 AI를 씁니다. 그리고 지금까지 흐름을 보면 공격 쪽이 훨씬 싸고 빠르게 움직이고 있어요.
개인적으로는 이게 '버그바운티 시대의 종말'까지는 아니어도 구조 자체가 바뀌는 신호라고 봐요. 몇 달 전만 해도 AI가 코드 리뷰나 정적분석 정도 도와주는 수준이었는데, 이제는 프로덕션 코드베이스에서 실전 익스플로잇 체인을 스스로 조립하는 수준까지 온 거잖아요. 워드프레스 재단이나 CMS 생태계 전체가 패치 사이클 속도를 완전히 다시 짜야 할 것 같아요.
한편으로는 이런 발견이 공개된다는 것 자체는 다행이에요. 큐스가 이걸 브로커한테 팔지 않고 연구 리포트로 공개했으니까요. 근데 모든 리서처가 이렇게 윤리적으로 움직일 거라는 보장은 없잖아요. AI 모델 접근성이 이렇게 좋아진 상황에서, 나쁜 의도를 가진 쪽이 똑같은 실험을 반복 못 할 이유가 없죠.
워드프레스를 쓰고 있다면 지금 당장 코어 버전부터 확인하는 게 좋을 것 같아요. wp2shell 관련 패치는 이미 나와 있다고 하니까요.
출처