PHP2Shell - AI로 PHP의 오래된 취약점을 실제 공격으로 구현

Wiz 블로그의 요약과 개요 부분을 기준으로 옮겼어요. 기술적 공격 체인 세부는 다 읽지 못했어요.

요약

Wiz Research가 전 세계 웹사이트의 70%를 움직이는 범용 스크립트 언어 PHP 코어에서 여러 치명적 취약점을 찾았어요. 공격에 성공하면 서버를 장악하고, 민감한 데이터를 훔치고, 사이트를 변조할 수 있어요.

PHP는 WordPress, Joomla, Drupal, Wikipedia의 MediaWiki 등을 돌리는 웹의 뼈대예요. 이번 취약점에는 메모리 노출과 인증 없는 원격 코드 실행(RCE)이 있고, 그 위에서 어떤 애플리케이션이 돌든 상관없이 PHP 자체의 문제라 해당 사이트 전부가 즉시 위험해요.

• 지난 10년간 나온 모든 PHP 버전이 최소 하나에 영향을 받아요. PHP 5.4까지 거슬러 올라가요.
• 원격으로 공격할 수 있고, 경우에 따라 꽤 쉬워요.
• 즉시 패치를 강력히 권고해요.

2026년 10월 21일 PHP는 코어 엔진의 여러 메모리 안전성 취약점을 고친 패치를 냈어요.

왜 이제야 드러났나

Wiz는 이번 발견을 PHP 역사상, 어쩌면 소프트웨어 역사상 가장 심각한 취약점 중 하나로 꼽아요. 결함 자체는 수십 년 동안 있었지만, 실제로 공격 가능함을 보이려면 사람 연구자가 현실적으로 해낼 수 있는 한계에 가까운 매우 복잡한 단계의 연쇄가 필요했어요. 프런티어 AI 모델이 그 장벽을 크게 낮춰, 오래된 결함을 실제 익스플로잇으로 바꿨다는 설명이에요.

개요

• 문제는 모두 10여 년 전에 내려진 것도 있는 핵심 아키텍처 결정에서 비롯됐고, CVE 두 개로 묶였어요. 심각도는 CVSS 9.2까지 가요.
• 인증 없는 공격자가 서버에서 코드를 실행하거나 프로세스 메모리를 읽을 수 있어요. 그 메모리에는 다른 요청이나 서버 자체의 비밀번호, 인증 토큰, API 키, 인증서가 들어 있을 수 있어요.
• 작업은 고객 보호, 변종 탐색, 탐지·완화책 배포, 공동 공개 일정에 맞춘 패치 검증까지 업계 전반의 공동 대응으로 커졌어요(OpenAI의 Patch the Planet 발표와 같은 사건이에요).