PHP에서 인증 없는 원격 코드 실행 취약점 2건이 공개됐어요. 오픈AI는 자사 모델이 발견과 무기화에 쓰였다고 밝혔어요. 핀란드·BBC 등 서비스가 내려가 대응 속도가 숙제가 됐어요.
PHP 서버를 쓰는 곳이라면 이번 주 내내 정신없었을 텐데요. 10월 21일(수) PHP 쪽에서 치명적인 취약점 두 개, CVE-2026-109618과 CVE-2026-109619가 공개됐어요. 둘 다 로그인 없이 서버에서 원격으로 코드를 실행할 수 있는 종류라서, 말 그대로 문 열어놓고 사는 거나 마찬가지였죠. 🔥
여기까지는 보안 업계에서 가끔 보는 일이에요. 근데 이번엔 포인트가 다릅니다. 오픈AI가 직접 "우리 모델이 이 버그를 찾고, 무기화하는 데까지 도왔다"고 밝혔거든요. 오픈AI가 공개한 글에는 GPT-5.6 Sol로 찾아낸 치명적 결함이 언급돼 있고, 발견부터 공개까지 사이에 생기는 시간을 'Defender's Window'(방어자의 창)라고 부르면서 이 구간을 어떻게 다룰지 이야기해요. 참고로 같은 두 취약점을 Wiz도 독립적으로 찾아냈다고 해요.
피해는 꽤 눈에 보였어요. 핀란드는 정부 웹 서비스를 임시로 내렸고, 에딘버러 시의회와 BBC도 일부 페이지를 오프라인으로 돌렸습니다. 패치는 수요일에 나왔지만, 이미 지원이 끝난 오래된 PHP 버전을 쓰는 곳은 업그레이드 자체가 큰 숙제라서 한동안 불안이 이어질 거예요. ⚠️
솔직히 저는 'Defender's Window'라는 표현이 제일 눈에 들어왔어요. 예전엔 취약점을 찾는 것도, 그걸 실제 공격 코드로 바꾸는 것도 사람의 시간이 꽤 들었잖아요. 그 시간이 방어자에게 숨 돌릴 틈이었는데, AI가 양쪽 단계를 다 빠르게 만들면 그 틈이 확 줄어듭니다. 그래서 오픈AI가 이걸 굳이 이름 붙여서 말하는 거겠죠.
한편으로는 이게 나쁜 소식만은 아니에요. 같은 도구를 방어하는 쪽이 먼저 쓰면 공개 전에 버그를 막을 수 있으니까요. 이번에도 Wiz가 독립적으로 찾았고 협조적 공개 절차를 거쳐 패치가 나왔다는 점은 그나마 다행입니다. 다만 모든 조직이 수요일 패치를 바로 적용하는 건 아니죠. 공격자는 패치가 나오는 순간부터 시계를 돌리는데, 그 격차는 앞으로 더 좁아질 것 같아요.
결국 질문은 이거예요. 발견과 무기화가 몇 시간 단위가 되면, 몇 주 단위로 돌아가는 우리 패치 문화는 어떻게 바뀌어야 할까요? 🤖
출처