원문 소식, 쉽게 읽기
OpenAI는 2026년 10월 21일 PHP의 중대한 취약점 대응과 앞으로의 협업 방안을 공개했습니다. PHP는 웹서버에서 페이지와 앱의 기능을 실행하는 데 쓰는 프로그래밍 언어입니다. 회사는 보안 연구 업체 Calif가 GPT-5.6 Sol을 활용해 조사했으며, 수정 개발과 출시는 PHP 유지관리자들이 이끌었다고 설명했습니다. 출처
사이트 운영자가 적용할 수정
PHP는 웹 요청을 처리하는 설치에서 로그인 없는 공격자의 코드 실행을 허용할 수 있는 두 취약점을 알렸습니다. 아래 수정 버전으로 즉시 업데이트하라고 권고합니다. 출처
| 사용 계열 | 수정 버전 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
배포판·장기 지원 업체의 패키지에는 자체 수정이 포함될 수 있습니다. 프로젝트 지원이 끝난 PHP 8.1 이하는 업체의 수정 제공 여부나 지원 버전 전환 경로를 따라야 합니다. 출처
취약점은 PHP 코드를 실행하는 소프트웨어인 실행 엔진에 있어 플러그인 단독 수정으로 해결되지 않습니다. PHP를 관리하는 호스팅 업체가 있다면 그 업체가 업데이트를 적용해야 합니다. 출처
WAF가 맡는 추가 방어
WAF는 규칙에 따라 웹 트래픽을 걸러내는 웹 애플리케이션 방화벽입니다. Cloudflare WAF가 배포된 환경에서 무료 규칙은 자동 적용됩니다. 유료 고객에게는 관리형 규칙 모음인 Managed Ruleset의 차단 모드 배포를 확인하도록 안내합니다. 출처
새 탐지는 같은 통신의 요청·서버 응답을 연결하고 규칙에 일치하는 응답이 전달되기 전에 차단합니다. 회사는 WAF를 유지하면서 PHP 수정도 적용하라고 권고합니다. 출처
AI 조사 뒤에 남는 사람과 조직의 일
PHP Foundation은 메모리 부족 처리 문제의 초기 징후를 2024년에 발견했다고 설명합니다. 수정 방안의 호환성 문제, 인력과 의사결정 구조 때문에 해결이 지연됐고, 2026년 연구자들의 보고로 실제 영향이 더 분명해졌다는 경위입니다. AI는 보고 검증을 돕지만 판단과 각 패치 작업에는 사람이 참여한다고 밝혔습니다. 출처
OpenAI가 제안한 대응은 유지관리자의 검증·수정, 필요한 업체의 사전 준비, 공개 뒤 설치 지원을 연결합니다. 방화벽 업체가 보호 규칙을 준비하는 일과 배포판이 수정 패키지를 만드는 일을 조율해, 발견한 문제가 실제 이용자의 시스템에서 해결되도록 하자는 접근입니다. 출처
OYOPICK의 시선
AI의 보안 기여는 문제를 찾아낸 순간부터 운영자가 수정된 PHP를 실행하는 순간까지 이어질 때 커진다고 봅니다. 이번 사례에서는 발견 능력과 함께 호환성을 판단하는 유지관리자, 패키지를 전달하는 업체, 적용을 맡는 운영자의 연결이 중요합니다.
앞으로 이런 협업이 소규모 사이트에도 빠르고 분명한 업데이트 경로를 제공하길 바랍니다. 그 진전을 판단할 기준으로는 발견 건수에 더해 지원이 끝난 환경의 전환 경로와 실제 수정 적용까지의 간격을 보고 싶습니다. 방화벽의 보호 설명과 엔진 업데이트의 완료 여부가 각각 드러나면 운영자도 대응 상태를 더 정확히 이해할 수 있습니다.