피에이치피(PHP), AI 보안 연구로 위험 확인한 서버 취약점 두 건 수정

PHP는 웹사이트와 웹 애플리케이션의 서버 쪽 처리를 맡는 프로그래밍 언어다. 개발팀은 웹 요청을 받는 PHP 설치 전반을 위험 범위로 안내했다. 특히 웹 서버 아파치(Apache)에 PHP를 붙여 실행하는 mod_php 환경에서는 애플리케이션 코드가 시작되기 전에도 공격이 가능함을 확인했다. 개별 사이트의 기능을 고치는 일과 그 아래에서 실행되는 언어의 보안 업데이트는 대상이 다르다.

공식 식별자는 CVE-2026-109618과 CVE-2026-109619다. 첫 결함은 메모리 부족으로 작업을 중단할 때 덜 만들어진 내부 자료를 정상 자료처럼 취급하는 문제다. 두 번째는 이전 요청의 메모리를 해제한 뒤에도 관련 상태가 남아 다음 요청에 영향을 주는 문제다. 둘 다 요청을 처리하는 기반 부분에 있어, 특정 웹 프로그램 하나의 결함으로 범위를 좁혀서는 안 된다.

해결이 늦어진 이유는 공격 경로와 수정 비용에 있었다. PHP 재단에 따르면 2024년 외부 감사의 후속 작업에서 첫 문제의 징후를 찾았지만 뚜렷한 공격 경로를 확인하지 못했다. 여러 수정 방식에도 호환성이나 성능상 문제가 있었다. 재단은 합의를 이루기 어려웠던 의사결정 구조와 전문 인력 부족을 지연의 원인으로 인정했다. 올해 8월 11일 캘리프(Calif)와 오픈AI(OpenAI)의 보고로 원격 코드 실행 위험이 분명해지면서 수정이 최우선 과제가 됐다.

보안팀은 AI를 발견 이후의 검증에도 사용한다. 10월 14일 공개한 업무 설명에서 오픈AI의 데이브레이크 레드(Daybreak Red)가 보고된 공격 경로를 추적하고 주장한 영향이 실제로 성립하는지 확인하는 데 도움을 준다고 밝혔다. 같은 원인의 보고를 묶어 검토 순서를 정하는 데도 활용한다. 다만 AI가 붙인 위험 등급을 그대로 채택하는 방식은 아니다. 팀원이 재현을 시도한 뒤 판단하고, 수정안에도 사람이 참여한다.

이 절차가 필요한 이유는 보고 건수와 실제 취약점 수가 다르기 때문이다. 같은 10월 14일 자료는 7월 1일 이후 취약점 식별자 15개를 공개한 한편, 취약점이 아니거나 중복·재현 불가로 판단한 보고 106건을 종결했다고 설명한다. 보안팀은 여러 운영체제와 자동 검사 환경에서 보고를 확인한다. AI가 작성한 보고도 환영하지만 재현되지 않는 출력은 실제 결함을 확인할 때만큼 검토 시간을 소비할 수 있다는 설명이다. 이는 21일 수정판의 효과를 측정한 수치가 아니라 앞선 검증 업무의 규모다.

공개 일정에도 조정이 있었다. 재단은 취약점 식별자가 먼저 유통되자 당초 22일로 잡았던 공개를 21일 14시 UTC, 한국 시각 밤 11시로 앞당겼다고 밝혔다. 일부 배포사가 수정 패키지를 준비 중이어서 즉시 공개와 준비 시간 사이에서 절충한 것이다. 온라인에 퍼진 위험도 10.0도 공식 점수인 9.2와 달랐다. 사전 정보 공유가 빠른 대응을 돕지만, 공개 시점이 어긋나면 수정본을 받지 못한 운영자에게 부담이 남는다는 사례다.

개발팀이 제시한 완전한 해결책은 수정 버전 적용이다. 임시 설정 변경은 일부 공격 경로의 노출을 줄일 뿐 안전을 보장하지 않는다. 지원이 끝난 구버전에는 일부 최소 소스 수정본도 제공했지만 정규 지원을 재개한 것은 아니다. 같은 PHP 기반 서비스라도 누가 패키지를 공급하고 업데이트하는지에 따라 대응 경로가 달라진다. 이번 수정은 AI의 탐지 능력만큼 유지보수·검증·배포의 연결이 보안에 중요하다는 점을 보여준다.