OpenAI, PHP 취약점 사태를 되돌아보다: 두 달간 비밀리에 조율했으나 포럼에서 사전 유출돼

동찰 Beating AI 속보, OpenAI가 PHP 취약점 파동 배후의 두 달간 이어진 비밀 수리 작전을 회고하는 글을 발표했다. 보안 회사 Calif는 GPT-5.6 Sol을 활용해 PHP에서 심각한 취약점을 발견했다. 또 다른 보안 회사 Wiz도 Gemini 4 Argon, GPT-5.6 Sol 등의 모델을 이용해 독립적으로 두 가지 취약점을 발견하고 보고했다. 이 문제들은 PHP 저층에 10여 년간 잠복해 있었으며, 공격자는 로그인 없이도 영향을 받는 웹사이트의 서버를 제어하고 비밀번호 등 민감한 정보를 탈취할 수도 있었다.

PHP는 WordPress, Drupal 등 수많은 웹사이트를 지탱하고 있다. 지난 두 달간 OpenAI는 PHP 유지관리자, Wiz, Cloudflare 등 기관을 주도적으로 조율하며 비밀 유지 상태에서 패치와 방어 조치를 준비했고, 백악관 및 미국 사이버보안 기관과도 소통했다. 실제 수리는 PHP 유지관리자가 주도했으며, 약 200개 파일, 1만 줄 이상의 코드가 관련되었다.

원래는 10월 22일에 취약점을 공개할 계획이었으나, 뜻밖에도 20일에 누군가가 Hacker News 포럼에서 취약점 번호, 심각도, 공개 시점을 미리 유출했다. PHP 팀은 어쩔 수 없이 경보를 앞당겨 발표하고 패치 공개일을 하루 앞당겼다. Cloudflare는 이어 초기 공격 시도가 관측되었다고 확인했으며, 네덜란드, 핀란드 등 일부 정부 웹사이트도 자발적으로 서비스를 중단해 위험을 피했다. 10월 21일에 이르러서야 PHP는 공식적으로 수리 버전을 발표했으며, 각 웹사이트는 여전히 자체적으로 업그레이드해야 한다.

OpenAI는 이렇게 사전에 발견하고 조율하여 수리한 기간을 「방어자 윈도우」라고 부른다. Wiz의 연구에 따르면, 최첨단 AI 모델을 활용하면 원래 최고 수준의 보안 팀이 수개월을 들여 개발해야 했던 복잡한 취약점 공격 방법을 이제 한 명의 연구자가 일주일 만에 완성할 수 있다. AI는 방어자가 수년간 숨겨진 보안 문제를 더 쉽게 찾아내도록 돕는 동시에, 공격자가 이러한 취약점을 악용하는 기술적 장벽도 크게 낮추었다.