단일 언어의 취약점이 만든 전면 차단

유럽연합 컴퓨터비상대응팀(CERT-EU)과 유럽사이버보안기구(ENISA)는 공동 성명을 통해 해당 취약점을 최고 등급으로 분류했습니다. ENISA는 성명에서 웹 인프라의 상당 부분이 PHP로 구동되는 만큼 영향 범위가 전례적으로 넓다고 지적했습니다. 네덜란드 국가사이버보안센터(NCSC)도 10월 21일 PHP의 심각한 취약점을 경보로 알렸습니다. 미국 사이버보안인프라보안국(CISA) 역시 관리자들에게 즉각적인 조치를 권고했습니다.

취약점 발견 주체가 AI라는 점

출처: 조사 출처

취약점은 오픈아이의 AI 모델이 보안 연구 과정에서 찾아낸 것으로, 오픈아이는 조정된 취약점 공개 절차를 거쳐 관계 기관에 통보했습니다. PHP 재단은 공식 채널을 통해 패치 준비 중임을 전했고, 세부 정보 공개는 패치 배포 이후로 미뤄졌습니다. 공격 코드가 만들어지기 전 배포를 끝내는 것이 핵심 과제입니다.

웹사이트 중단 보고와 그 한계

로이터 통신은 여러 정부·기업 웹사이트가 경고에 따라 접속을 차단하거나 운영을 중단했다고 전했습니다. 한국 인터넷진흥원(KISA)도 보안 공지를 통해 관리자들에게 점검을 권고했습니다. 다만 일반 기업 사이트의 대거 중단은 당사자 발표 수준의 1차 근거가 아직 확립되지 않았습니다. 취약점 세부 내용과 전체 피해 규모 역시 패치 배포 전까지 공식 확인이 제한적입니다.

패치 이후에 남는 질문

취약점 실증 정보가 정리된 php2shell.com 같은 공개 목록이 등장하며 관리자들의 혼란이 커지고 있습니다. AI가 보안 연구의 속도를 바꾼다는 통념은 이번 사례에서 방향성은 확인해 주지만, 공개 전 대응 체계가 이를 따라가는지는 별개의 문제로 남습니다. 이번 사태가 AI 시대의 취약점 공개 방식을 구조적으로 바꿀지는 몇 차례의 사례 관측이 더 필요합니다.

AI가 발견한 취약점이 각국의 긴급 대응으로 이어진 사실관계는 보도와 공식 경보의 내용이 맞물려 대체로 사실에 부합합니다. 이후 확인할 지점은 PHP 재단의 패치 배포 일정과 중단됐던 웹사이트들의 정상화 속도입니다.