10 월 21 일 밤, 인증 없이 외부에서 PHP 를 탈취할 수 있는 취약점이 2 개 발견되어 수정 버전이 발표되었습니다. 이 취약점은 통칭 'PHP2Shell'이며, 이를 발견한 보안 기업은 구글과 오픈 AI 의 AI 를 활용해 조사하고 있었습니다.
저도 본업으로 대응했습니다. 개인으로 운영하는 서비스 쪽은 그날 오후에 X 에서 이렇게 적었습니다.
PHP 와 Node.js 의 취약점, 제가 개인으로 운영하는 서비스도 Node.js 를 사용하고 있으므로 대응 중입니다💦 의존성 업데이트는 대부분 AI 에게 맡기고, 저는 실제 배포 여부를 최종 판단만 합니다. PHP 는 로그인 없이 1 회 요청만으로도 코드를 실행하는 방식이라, 우회책이 없으므로 업데이트가 유일한 해결책이라는군요. Node.js 도 심각도 '높음'으로 4 건이 발견되었습니다😇— ひつじ課長｜AI 失業ニュース (@hitsuji_kacho) 2026 년 10 월 22 일
찾는 것이 AI 라면, 공격하는 측도 AI 를 사용한다. 그 사이에서 인간의 손은 어디에 남을까.
목차
- 아직이라면 오늘 안에
- 패치는 매월 적용해 왔습니다. 이번에는 무엇이 다른지
- PHP 를 넘어 사람들이 미리 준비해 두어야 할 것들
- 사람이 등장할 차례는 사라지지 않았다.
- 보안 분야로 넘어가도 안심할 수 있다는 말은 단정할 수 없습니다.
- 저는 보안 강화에 힘쓰고 있습니다.
- 출처 (2026 년 10 월 23 일 확인)
아직이라면 오늘 안에
PHP 와 Node.js 는 아래 버전보다 오래된 버전이므로 오늘 즉시 업데이트하겠습니다. 보도에 따르면 수정 버전이 배포된 지 45 분 만에 수만 건의 공격 시도가 관측되었습니다.
표의 오른쪽 버전은 기다려도 공식 수정이 나오지 않습니다. PHP 8.2 도 연말에 종료되므로, 이번 업데이트를 하더라도年内에 다시 작동하게 될 것입니다.
즉시 설정할 수 없는 경우의 임시 설정은 PHP 공식 공지사항에 명시되어 있습니다. 다만, 이를 통해 안전해지지는 않는다는 경고도 함께 덧붙여져 있습니다.
패치는 매월 적용해 왔습니다. 이번에는 무엇이 다른지
취약점이 발견되어 패치를 적용하는 일이죠. 인프라 및 운영 업무에서는 매월 반복해 왔습니다. 그럼에도 이번에는 지금까지의 '패치 날'이라는 느낌은 통하지 않았습니다.
가장 효과가 컸던 것은 속도였습니다. PHP 는 공개 전 날 정보가 유출되어 계획보다 하루 일찍 수정판이 나왔습니다. 매월 한 번 정기적으로 순서를 정하고 다음 주 작업일에 할당하는 방식이라면, 45 분도 아닌 한 주 동안 수정되지 않은 채로 남게 됩니다.
수치 측면에서는 Microsoft 가 매월 수정한 수치를 나열하면 한눈에 알 수 있습니다.
보안 기업 ZDI 에 따르면, 10 월 한 달 동안 Microsoft 는 과거 어느 1 년 분보다 더 많은 취약점을 발견했습니다. 다만 ZDI 는 AI 가 취약점을 만든 것은 아니라고 덧붙였습니다. AI 가 취약점을 발견하는 데 걸리는 시간을 단축했을 뿐이라고 설명했습니다.
PHP 의 취약점도 14 년 전부터 이미 내부에 존재하고 있었습니다. 오래된 시스템일수록 앞으로 발견될 취약점이 더 많을 것입니다.
발견된 취약점의 수는 아직 더 늘어날 것으로 보입니다. 오픈AI 는 유사한 발견이 "수개월 내에 급증할 것"이라고 발표했습니다. 안쓰레픽은 자체 AI 를 통해 6,157 건의 취약점을 발견했지만, 보고할 수 있는 것은 그 일부에 불과하다고 밝히고 있습니다. 사람이 하나씩 확인하는 작업이 추격하지 못한다는 것입니다.
PHP 를 막론하고, 사람이 갖추어야 할 것들
언어든 OS 라든가, AI 로 검색하면 과거 코드에서 취약점이 드러납니다. 이번 패치만 적용해 끝내지 않고, 매주 새로 나오는 수정 버전에 견딜 수 있도록 업무 방식을 바꿔두겠습니다.
개정판이 나온 밤에 가장 시간을 많이 쓰는 것은「우리는 관련이 있나」를 확인하는 일입니다. 어떤 곳에서 어떤 판이 개정되었는지만 알면, 맞을지 틀릴지 바로 판단할 수 있습니다.
취약성 악용이 확인된 경우를 기준으로 삼고 있는 현장들은 다시 한번 신중하게 검토해 볼 필요가 있습니다. 미국 CISA 가 공개한 실제 악용된 취약성 목록에는 PHP 의 취약점이 23 일 기준 아직 포함되어 있지 않았습니다. 목록을 기다리는 동안 이미 45 분이 지났습니다.
사람이 등장할 차례는 사라지지 않았다.
PHP 개발 팀 (PHP Foundation) 이 수정 버전과 같은 날 발표한 보고서에는 AI 의 도움으로 접수된 취약점 보고가 크게 증가했다고 명시되어 있습니다. 7 월 이후 접수된 CVE 는 15 건이며, 그 외에도 무효, 중복, 재현되지 않는 보고 100 건 이상을 처리했습니다.
찾는 단계는 이미 AI 가 처리하고 있으며, 막히는 것은 판단하고 결정을 내리는 사람입니다. 운영이나 유지보수 업무는 사라지는 것이 아니라 양이 늘어나고, '맞추는 작업'에서 '결정하는 판단'으로 이동해 간다고 생각합니다.
보안 분야로 넘어가도 안심할 수 있다는 말은 단정할 수 없다.
미국에서는 올해 보안 관련 채용 공고 자체가 줄어든 것으로 나타났습니다 (CyberSN).
SANS 가 10 월에 발간한 직무 가이드를 보면, AI 보안 관련 업무는 대부분 새로운 직무가 아닌 것으로 보입니다. SOC 분석가나 사고 대응과 같은 기존 직무에 새로운 역할이 추가되는 형태로 성장하고 있습니다. 직함만 바뀌었을 뿐, 보호받는 것은 아닌 듯합니다.
저는 보안에 집중하고 있습니다.
그래서 저는 조금씩 보안 분야로 주력할 계획입니다. AI 가 처리하는 양이 사람이 감당하는 양을 따라가지 못하기 때문입니다. 따라잡지 못하는 영역에는 여전히 사람의 역할이 남아 있습니다.
이번 주에는 아마도 그 연습이었을지도 모릅니다.
재학비 부담이 걱정된다면, 수강료 일부가 반환되는 국가의 제도를 모두 정리해 드립니다.
운용 및 인프라 업무의 향후 전망은 채용 수치를 통해 확인해 보실 수 있습니다.
하지만 그 날에는 궁금한 점을 적었습니다.
LINE 를 통해 새로운 소식을 알려드립니다 (무료)
AI 실업 대비 국가 제도와 새로운 데이터가 발표되면 LINE 를 통해 안내하겠습니다.
LINE 에서 친구 추가하기 (무료)
출처 (2026 년 10 월 23 일 확인)
- PHP Foundation「오늘의 PHP 보안 릴리스 및 PHP 보안 강화 방안」(2026 년 10 월 21 일)
- PHP「뉴스 아카이브 2026」(수정판, 지원 종료 버전, 즉시 적용이 불가능한 경우의 설정) https://www.php.net/archive/2026.php
- Node.js「2026 년 10 월 보안 릴리스」(2026 년 10 월 21 일) https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
- 제로데이 이니셔티브「2026 년 10 월 보안 업데이트 검토」(2026 년 10 월 13 일)
- 가젯로그「10 월 Windows 업데이트 등으로 취약점 1,411 개가 수정됨」（월별 개수）https://gazlog.jp/entry/microsoft-october26-update-most-cve-fix-ever/
- ITmedia AI+「PHP 취약점, OpenAI AI 가 발견『동일한 발견이 향후 수 개월 내 급증할 것』」(2026 년 10 월 22 일) https://www.itmedia.co.jp/aiplus/article/2610/22/2000002482/
- 안티프「좌표된 취약점 공개 대시보드」（2026 년 10 월 2 일 기준）https://red.anthropic.com/2026/cvd/
- CISA「알려진 취약점 활용 목록」(2026 년 10 월 23 일 확인) https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Wiz「PHP2Shell」 https://www.wiz.io/blog/php2shell-php-rce
- 포춘 (2026 년 10 월 21 일, 공격 시도 횟수는 클라우드플레르와 PHP 에서 발견된 취약점)
- 사이버 SN「사이버보안 직무 보고서」(미국, 2026 년 1~9 월) https://cybersn.com/resources/reports/cybersecurity-jobs-report
- SANS「AI 사이버보안 경력 가이드」(2026 년 10 월 19 일) https://www.sans.org/white-papers/sans-ai-cybersecurity-careers-guide
※ 확인한 날짜 기준의 상황입니다. 본인의 환경에 대한 대응은 각 공식 발표와 사용 중인 서비스 안내를 통해 확인하시기 바랍니다.
출처: note 원문
번역: Qwen 3.5(.48) 초벌 + 교정 26청크
원문 보기 | 출처: note.com