이것이 사이버 보안의 새로운 일상인가?

Drew Silcock 블로그 글의 주요 사건 부분과 결론을 옮겼어요. 사건별 외부 링크 목록과 일부 세부 설명은 생략했어요. 글쓴이는 보안 전문가가 아니라고 스스로 밝혔고, 작성 시점은 10월 23일이에요.

왜 이 글을 썼나요

지난 한 주 동안 수천 개 주요 사이트에 영향을 주는 심각한 취약점이 연달아 터지며 사람들이 패닉에 빠졌대요. 글쓴이는 무슨 일이 벌어지는지, 무엇을 할 수 있는지 정리해요.

PHP2Shell (CVE-2026-109618, CVE-2026-109619)

• 캘리포니아 보안 회사 Calif(OpenAI의 'Patch the Planet' 프로그램 참여)와 Google Cloud 소속 Wiz가 각각 PHP의 원격 코드 실행(RCE) 버그 두 개를 찾았어요. 둘 다 프런티어 AI 모델로 취약점을 찾고 익스플로잇을 만들었대요.
• 그중 하나는 PHP 재단이 2024년 감사에서 이미 찾았지만, 실제 익스플로잇을 만들 방법을 아무도 몰라 사실상 미뤄 둔 것이었어요.
• LLM은 막연한 이론적 취약점을 완전한 익스플로잇으로 바꾸는 데 아주 능해요. 보안 패치 공지가 뜨면 사람들이 바로 코드베이스에 LLM을 붙여 diff를 읽고 취약점과 익스플로잇까지 거슬러 올라간대요. 글쓴이는 이제 패치 발표 시점이 익스플로잇이 퍼지지 않았다고 볼 수 있는 마지막 날로 봐야 한다고 해요.
• 인터넷의 70% 이상에 영향을 준다는 추정이 있고, 엠바고 중 정보가 새면서 패치가 하루 앞당겨졌지만 배포 시점엔 이미 실제 공격이 있었대요. PHP 재단은 Calif와 Chainguard를 탓했어요.

같은 주의 다른 사건들

• eMudhra: Mozilla가 인도 인증기관 eMudhra의 중간 인증서 8개를 차단했어요. 개인키 품질이 형편없었다는 제보 때문이고, Scott Helme는 Claude가 프롬프트 하나로 키를 복원했다고 적었대요. eMudhra는 인증서 사업에서 철수한다고 발표했어요.
• Railway: 해커가 플랫폼의 환경변수에 접근해 복호화까지 한 흔적을 찾았다고 발표했어요. AI 추론 제공 회사를 노린 조직적 시도의 일부로 본대요.
• GitLab: CI/CD 정규식 파싱 버그로 CVSS 10.0 RCE가 10월 12일과 21일에 연달아 나왔어요. 모두 HackerOne 버그 바운티로 보고됐어요.
• musl libc: 정규식 관련 정수 오버플로 버그가 공개됐어요.
• LiteLLM: 3월에 이어 또 PyPI·Docker 이미지에 악성 버전이 올라왔고, Wiz는 페이로드에 LLM 도움을 받은 흔적이 강하다고 분석했어요.

결론

AI와 보안 사이에는 분명 이야기가 있고, 더 좋아질지 나빠질지는 아직 모른대요. 자동 분석 도구가 2010년대에 버그 폭증을 불렀던 것과 같다는 의견도 있지만, 글쓴이는 이번은 범주가 다르다고 느낀대요. 소프트웨어 산업과 오픈소스는 바뀔 것이고, 그 변화가 모두에게 이롭도록 하는 건 공동의 책임이라고 맺어요.