PHP 의 사건은 이제 막 끝난 것일까.
2026 년 10 월 21 일, 국내 다양한 웹 서비스가 PHP 에서 발견된 중대한 취약점인 'PHP2Shell' 대응으로 긴급 유지보수에 들어갔습니다. 제가 관리하는 웹사이트 역시 다음 날인 22 일에 정지되었으며, 렌탈 서버 회사의 대응 방식에 대해 여러 가지 생각을 하게 되었습니다.
PHP 는 전 세계의 웹 사이트에서 널리 사용되는 프로그래밍 언어입니다. 이번에 발견된 2 개의 취약성은 특정 조건에서는 외부에서 서버상의 프로그램을 불법적으로 실행할 수 있다는 매우 심각한 문제였습니다.
수정 프로그램은 21 일 밤에 공개되었으며, 각 업체가 대응을 진행 중입니다. 다만 수정되었다는 사실만으로 모든 서버가 안전한 것은 아니며, 업데이트되지 않은 환경도 남아있을 뿐만 아니라 과거에 침입되지 않았는지에 대한 확인도 필요해집니다.
하지만 이번 사건을 조사하다 보니 더 궁금한 점들이 드러났습니다.
사실상 이 취약점을 발견하는 과정에서 AI 가 결정적인 역할을 했다는 것입니다.
그리고 OpenAI 는 이번 PHP 를 넘어 이미 여러 중대한 취약점을 발견하고 수정에 착수했다고 공표했습니다.
즉, PHP2Shell 은 하나의 사건일 뿐만 아니라 앞으로의 변화의 시작일지도 모릅니다.
10 년 이상 잠들어 있던 문제를 AI 가 현실의 위협으로 만들었습니다.
이번 PHP2Shell 은 최근 작성된 프로그램에서 갑자기 발생한 문제가 아닙니다. 문제의 원인이 된 처리 중 일부는 10 년 이상 PHP 에 존재해 있었습니다.
과거에도 프로그램에 버그가 발견된 적은 있었으나, 버그가 존재한다는 것과 이를 이용해 실제로 공격할 수 있다는 것은 별개의 문제입니다.
이번 문제 역시 여러 조건을 조합하고 메모리 상태를 분석하지 않으면 공격으로 성립하기 어려운 것이었습니다.
그때 활약한 것이 인공지능이었다.
보안 기업 Calif 는 OpenAI 의 GPT-5.6 Sol 을 활용하여 중대한 문제를 발견했으며, Wiz 역시 Gemini 4 Argon 등을 사용하여 독립적으로 취약점을 조사했습니다. AI 가 복잡한 프로그램의 동작을 분석하고 검증 및 수정 확인을 지원했다는 것입니다.
물론 AI 가 모든 일을 혼자서 진행한 것은 아닙니다. 연구자들이 조사를 진행했고, PHP 개발자들이 수정을 진행했으며, 많은 기업들이 협력해 공개를 준비했습니다.
하지만, 여기서는 큰 변화가 일어나고 있다.
과거에는 위험할지라도 인지하고 있었음에도 불구하고, 이를 조사하는 데 막대한 시간이 소요되어 방치되어 온 문제들이 이제 인공지능을 통해 현실적인 조사 대상으로 부상했습니다.
나는 이것이 이번 사건에서 가장 중요한 부분이라고 생각한다.
다음으로 표적이 될 수 있는 것은 PHP 만이 아닙니다.
그렇다면 이제 어떤 일이 벌어질까.
OpenAI 는 10 월 21 일 발표에서 PHP 를 포함한 여러 중대한 취약점을 이미 발견했으며 현재 수정 작업에 착수하고 있다고 밝혔습니다. 또한 향후 수 개월 내에 유사한 발견이 크게 증가할 것으로 예상하고 있습니다.
어떤 소프트웨어에 문제가 발견되었는지 공개되지 않았습니다.
그래서 다음에는 WordPress, Linux, Windows 가 될 것이라고 예상하는 것은 별로 의미가 없다고 생각합니다.
중요한 것은 PHP 가 예외적인 것만은 아니라는 점이다.
우리가 일상에서 사용하는 소프트웨어 중에는 수년 동안 많은 개발자가 개발과 수정을 거듭해 온 것들이 있습니다. 동작이 복잡하고 모든 조건을 사람이 확인하는 것은 쉽지 않습니다.
AI 가 여기에 도입된다면, 인간이 수 주에 걸쳐 조사해야 하는 처리를 AI 가 단시간에 반복 검증할 수 있게 되며, 이로 인해 지금까지 발견되지 않았던 문제들이 차례로 드러날 가능성이 있습니다.
그런 나쁜 일만 있는 것은 아닙니다. 공격자가 먼저 발견하고 수정하여 피해를 막을 수 있기 때문입니다.
하지만 반대 경우도 고려해야 한다. 방어하는 측뿐만 아니라 공격하는 측도 AI 를 사용할 수 있다.
공격은 수정 프로그램의 공개를 기다리지 않는다.
이번 PHP2Shell 업데이트는 10 월 21 일에 수정 프로그램이 공개되었습니다. 그러나 AWS 의 조사에 따르면, 그보다 4 일 앞선 10 월 17 일에는 이미 PHP2Shell 를 악용하려는 통신이 관측되었다는 것이 밝혀졌습니다.
그 통신이 실제로 침입에 성공했는지, 공격자가 정보를 어떻게 획득했는지 아직 알 수 없다. 다만 공식 발표 이전부터 공격 시도가 존재했던 것으로 보인다.
또한, 수정 프로그램 공개 이후에는 공격 기법을 테스트하기 위한 통신도 광범위하게 관측되고 있습니다.
여기서 주목해야 할 점은 공격 속도입니다. 과거에는 취약점이 공개되고 누군가가 공격 방법을 개발한 뒤 그것이 확산될 때까지 어느 정도 시간이 걸리는 경우도 있었습니다.
그러나 AI 가 프로그램 분석이나 시행착오를 도와주게 되면 그 시간은 더욱 단축될 수 있습니다.
물론 이번 관측된 공격이 AI 로 생성되었다고 확인된 것은 아니지만, AI 를 통해 공격 방법 개발이 용이해 진다는 우려는 오픈AI 와 Wiz, AWS 도 표명하고 있습니다.
즉, 앞으로의 보안 대책에서는 '문제 발표 후 수일 이내에 패치를 적용하면 된다'는 접근이 통하지 않을 수도 있습니다.
그리고 저 또한 여기에서 또 다른 문제를 느낀다고 생각합니다.
취약점 발견 속도가 빨라져도 이를 수정하여 사용자 환경에 적용하는 속도가 이를 따라가지 못하면 사회 전체의 안전성은 높아질 수 없습니다.
이번 렌탈 서버 업체의 대응 차이도 이 문제를 성찰하는 하나의 자료가 되었습니다.
AI 가 가전제품 내에서 확산되는 시대인가?
더욱이 주목할 만한 연구가 있습니다. 2026 년 10 월 12 일, Anthropic 이 발표한 AI 의 자기 복제에 관한 연구입니다.
이 연구에서는 저렴한 Android TV 박스 15 대를 네트워크로 연결하여 AI 모델을 분산 실행하는 데 성공했습니다. 각 기기당 약 55 달러라는 매우 저렴한 장비를 사용했습니다.
또한 외부에서 차단된 실험용 네트워크에서는 AI 에이전트가 다른 기기로 이동하고 AI 를 제어하는 환경을 구축하여 확산되는 일련의 동작도 검증되었습니다.
다만, 여기서는 오해하지 않도록 해야 한다.
실험에서는 기기에 침투하기 위한 조건을 의도적으로 단순화했습니다. 또한 실제로 저렴한 가전제품 위에서 작동하는 소형 AI 가 실제 네트워크에서 자발적으로 증식할 수 있다는 것도 확인되지 않았습니다.
안티트로픽이 예측한 바는, 현재의 발전 속도가 유지된다면 2026 년 말경에 소형 AI 의 능력 수준에 도달할 수 있다는 점이다.
年末にAIウイルスが世界中で発生する、と発表したわけではない。
그러나 이 연구가 제시한 방향성은 흥미롭습니다. 기존의 컴퓨터 바이러스는 미리 준비된 프로그램에 따라 움직이는 것이 중심이었습니다.
반면, AI 가 장비의 종류나 환경을 파악하고 자신에게 적합한 작동 방식을 고려할 수 있게 되면, 공격의 성질도 변할 수 있습니다.
그 대상이 컴퓨터나 스마트폰에만 국한되는 것은 아닙니다.
텔레비전, 감시 카메라, 가전제품, 사무실 기기, 그리고 다양한 IoT 기기. 현재는 많은 것이 인터넷에 연결되어 있습니다.
편의가 되면서 동시에 지켜야 할 장소도 늘어나고 있습니다.
가장 최첨단한 사회는 사실 매우 취약하지 않을까요
최근 저는 이 점을 자주 생각합니다. 인터넷이 없던 시대에도 사회는 움직였습니다. 상점은 현금으로 상품을 팔았고, 회사는 종이 장부를 통해 업무를 처리했으며, 사람들은 전화나 직접적인 대화를 통해 연락을 취했습니다.
물론, 지금보다 불편한 점도 있었으며, 과거가 더 안전했다고 해서 그런 것은 아닙니다.
하지만 지금의 사회는 어떨까.
결제, 물류, 재고 관리, 제조 설비, 건물 관리, 심지어 냉장고까지 다양한 요소가 네트워크로 연결되어 있습니다.
편의가 된 것은 틀림없지만, 그 시스템이 멈추면 업무 자체가 불가능해질 수도 있습니다.
어제 조금 전, 옛날 야쿠야가 장수 그릇에 변화를 넣고 거래하는 모습을 떠올렸습니다.
전기가 끊겨도 인터넷이 쓰여도 안 되더라도, 눈앞에 채소가 있고 고객이 현금을 가지고 있으면 사업은 할 수 있다.
현대 슈퍼마켓과 같은 규모의 사업은 불가능하며, 식품 보존과 물류에도 별도의 문제가 존재한다. 그럼에도 불구하고 사업을 지속하기 위한 시스템은 매우 단순했다.
우리는 모든 것을 연결함으로써 진보해 왔습니다. 그러나 하나라도 멈추면 많은 것이 멈추는 사회를 만들어 온 것은 아닌지.
이번 PHP2Shell 과 AI 가 자기 복제를 할 수 있다는 연구 보고를 보며, 다시 한번 그런 생각을 하게 되었습니다.
이제 필요한 것은 지키는 기술과 멈추어도 움직일 수 있는 시스템입니다.
그럼 우리는 무엇을 해야 할까.
웹 사이트를 관리하신다면 PHP 나 WordPress, 플러그인의 업데이트 상태를 확인하고, 렌탈 서버 회사가 어떤 수준의 대응책을 마련해 두었는지 파악하세요. 백업만 취하는 것이 아니라, 다른 환경에서도 실제로 복구 가능한지 미리 확인해 두세요.
기업이라면 인터넷이나 클라우드 서비스를 사용할 수 없게 되었을 때, 어떤 업무를 우선적으로 지속할지 미리 고려해 두는 것도 필요할 것입니다.
네트워크에 연결되는 기기 중에는 업그레이드가 가능한 모델을 선택하고, 사용하지 않는 기기는 버리지 않는 것이 중요합니다.
모든 것이 낯선 대응책은 아닙니다. 하지만 지금까지 번거로워서 미루어 두었던 일이 앞으로는 미룰 수 없을지도 모릅니다.
그리고, 또 하나.
앞으로 모든 것을 디지털화하는 것이 진정으로 진보인지에 대해 깊이 고민해 보고 싶습니다.
평소 최신 AI 를 활용하며, 업무를 최대한 자동화하고 편리한 시스템은 적극적으로 도입합니다.
하지만 그 상태가 멈췄을 때에도 최소한의 업무를 계속할 수 있는 방법을 남겨두는 것이 좋습니다.
그런 구조를 가진 기업이나 지역이 결과적으로 더 강하지 않을까요.
PHP2Shell 은 어떤 시작점이 될지도 모릅니다.
이번 PHP2Shell 에서 AI 는 오래된 프로그램의 결함을 발견하는 데 중요한 역할을 수행했습니다.
그리고 다른 연구에서는 AI 가 네트워크 상의 장치를 이동하며 스스로 복제하는 능력을 검증하는 과정도 진행되고 있습니다.
이 두 가지는 별개의 연구이며, 자기 복제 AI 가 PHP2Shell 을 이용해 공격을 가했다는 이야기는 아닙니다.
그러나 두 가지 모두 AI 를 통해 과거에는 시간과 노력이 많이 소요되었던 작업들이 이제 현실적으로 가능해지고 있음을 보여주고 있습니다.
다음에 어떤 소프트웨어에서 중대한 취약점이 발견될지, 언제 AI 를 통한 새로운 공격 기법이 등장할지는 누구도 정확히 알 수 없습니다.
그럼에도 불구하고 앞으로는 취약점을 발견하는 속도와 공격자의 대응 속도가 더욱 가속화될 가능성이 있습니다.
그렇기에 방어 측도 AI 를 활용하여 문제를 신속하게 발견하고 수정해야 하며, 아무리 방어를 강화하더라도 모든 것을 막을 수 있다는 전제를 깔아두어야 합니다.
앞으로의 최첨단은 모든 일을 처리할 수 있는 시스템이 아니라, 어떤 기능이 작동하지 않더라도 업무를 지속할 수 있는 시스템일지도 모릅니다.
AI 가 진화하는 시대에こそ 인간은 편의성뿐만 아니라 고장 날 때의 문제도 고려해야 한다고 생각합니다.
참고 자료
- OpenAI: 지구 패치 — 중대한 취약점 발견과 협력적 대응
- Wiz: PHP2Shell 기술 설명
- PHP 공식: 보안 패치 버전 안내
- AWS: PHP2Shell 공개 이후 관측된 공격 시도
- 안트로픽: 데이터 센터 없이 AI 가 스스로 복제할 수 있는 가능성에 대한 연구
- 소프스: PHP2Shell 공격 관측 및 분석 (수정 정보 포함)
※2026 년 10 월 25 일 현재 확인된 정보에 기반하여 작성되었습니다. 연구에 따른 예측과 실제로 확인된 사건은 구분하여 기재하고 있습니다.
출처: note 원문
번역: Qwen 3.5(.48) 초벌 + 교정 53청크
원문 보기 | 출처: note.com