PHP, AI가 찾아낸 치명적 취약점 2건 수정

PHP 개발팀은 10월 21일 치명적인 취약점 2건을 수정하는 긴급 업데이트를 배포했다. 해당 취약점은 공격자가 인증 절차 없이 서버에서 원격으로 임의의 코드를 실행할 수 있게 하는 것이었다. 업데이트된 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35이다.

이 취약점들은 정보 보안 전문가들이 인공지능 모델을 활용해 발견했다. OpenAI에 따르면 이번 조사는 Patch the Planet 이니셔티브의 일환으로 진행되었다. 웹 요청을 처리하는 PHP 설치 환경이 영향을 받았으며, 위험 수준은 개별 서버의 설정에 따라 달랐다.

취약점 중 하나는 메모리가 부족할 때 시스템 내부 상태가 손상되는 문제와 관련이 있다. 다른 하나는 메모리 해제 이후 오래된 데이터를 사용하면서 발생한다. PHP 개발팀은 가장 위험한 시나리오로 mod_php를 통한 악용을 꼽았으며, 이 경우 애플리케이션 코드가 실행되기 전에 공격이 시작될 수 있었다. 앞서 PHP의 치명적 취약점 2건 수정과 최초 공격 탐지에 관해서도 보도한 바 있다.

패치 준비에는 약 두 달이 걸렸다. PHP 개발자, Calif, Wiz, Cloudflare의 전문가, 그리고 미국 사이버보안·인프라보안국(CISA)과 백악관 관계자가 작업에 참여했다. 관계자들은 개발자와 소프트웨어 공급업체가 공개 발표 전에 패치를 준비할 수 있도록 정보 공개 시점을 조율했다.

개발자와 서버 관리자는 즉시 PHP를 수정된 버전으로 업데이트할 것이 강력히 권고된다. 설치된 버전을 확인할 수 있도록 OpenAI는 진단 도구 php2shell-checker를 GitHub에 공개했다.

OpenAI는 또한 이번에 활용된 절차를 AI가 발견한 치명적 취약점의 공개에 관한 표준 규정으로 정착시킬 것을 제안했다. 회사는 통일된 절차가 마련되면 개발자, 보안 연구자, 정부 기관이 더 빠르게 정보를 공유하고 기술적 세부 사항이 공개되기 전에 수정 패치를 내놓을 수 있을 것이라고 보고 있다.