19시간 만에 증명된 취약점
PHP2Shell 논쟁이 실제 공격으로 확인됐습니다. 보안 연구자 cloudlandsdev는 취약한 서버에 2000달러 규모의 비트코인 키를 숨기고, 이를 훔치면 상금을 주는 챌린지를 열었는데요. 19시간 만에 KillaBoi가 메모리 조작과 주소 유출, 위조 자료구조를 활용한 공격에 성공했습니다. 취약점이 이론적 분석에 그치지 않고 실제 악용될 수 있음을 보여준 겁니다.
AI가 찾아낸 또 다른 구멍
비슷한 시기 Node.js에서는 Brotli 압축 해제 모듈의 원격 코드 실행 취약점 CVE-2026-111497이 발견됐습니다. 경계 외 쓰기 문제로 인증 없이 서버를 멈추거나 메모리 누수, 인프라 장악으로 이어질 수 있는 결함입니다. 이 취약점은 오픈AI Codex의 AI 에이전트가 연구 과정에서 독자적으로 탐지한 것으로 알려졌습니다. Node.js는 패치를 내놨고, 한국인터넷진흥원과 티오리는 신속한 적용과 진단을 권고했습니다.
PHP에서는 기존 패치 이후에도 CVE-2026-115560이 추가로 공개됐습니다. 파일 업로드 진행 상황 추적 기능과 특정 서버 설정이 결합될 때 악성 코드 실행이 가능한 구조인데, 모든 서버가 영향을 받는 것은 아니고 특정 조건이 충족돼야 합니다. 클라우드플레어와 AWS는 공개 직후 공격 시도가 급증했다고 보고했지만 실제 침투 사례는 확인되지 않았습니다.
경보는 '주의'로, 남은 건 패치
보안 업계는 AI 기반 탐지가 빨라지면서 앞으로 2년간 취약점이 잇따라 드러날 가능성이 높다고 경고합니다. 사이퍼마는 한국어 해커들이 익명 네트워크에서 국내 정부기관과 금융회사를 겨냥해 PHP 취약점을 논의한 정황을 포착했고, 북한 라자루스와 연계됐을 가능성도 중간 수준으로 제기했습니다. 정부는 민간 분야 사이버 위기 경보를 '관심'에서 '주의'로 올리고 주요 기관에 보안 점검을 요청했습니다. 연계 의혹은 아직 단정하기 이르며, 핵심은 패치 지연이 곧 노출로 이어진다는 점입니다.