30초 안에
- 무슨 일이 일어났나요? 그만큼 PHP 재단 PHP2Shell이라는 심각한 결함을 확인했으며 CVE-2026-109618 및 CVE-2026-109619라는 두 개의 식별자로 등록되어 공격자가 PHP를 기반으로 구축된 모든 웹사이트에 대한 제어권을 부여할 수 있습니다. 이 패치는 금수 조치에 따른 두 달간의 작업 끝에 10월 22일 목요일에 게시되었습니다.
- 뒤에는 누구입니까? 언어를 관리하는 팀은 가장 발전된 모델 중 하나를 사용하는 미국 보안 회사입니다. 오픈AI 균열과 회사를 찾기 위해 체인 가드발표 몇 시간 전에 뉴스가 유출되었습니다.
- 어떤 영향을 미치나요? PHP는 전자상거래, 은행, 유틸리티를 포함한 전 세계 웹사이트의 최대 70%를 지원합니다. 스페인에서는 업데이트를 적용하지 않은 SME, 온라인 상점 및 관리 포털에 노출이 영향을 미칩니다.
인공지능을 통해 발견된 PHP2Shell 취약점은 전 세계 웹의 70%를 공격자의 원격 제어에 노출시킵니다.
PHP2Shell은 무엇이며 버그가 10년 동안 휴면 상태였던 이유
PHP 언어는 인터넷의 상당 부분을 지원하는 프로그래밍 엔진입니다. PHP 재단 그리고 이는 월스트리트 저널에 의해 보도되었습니다. 이번 수요일, 이를 유지 관리하는 비영리 단체는 비공개 포럼에서 몇 주 동안 유포되었던 내용을 확인했습니다. PHP2쉘 CVE-2026-109618 및 CVE-2026-109619로 등록되어 있으며, 이를 통해 공격자는 이 소프트웨어에 구축된 모든 웹 사이트를 제어할 수 있습니다.
이야기에는 반전이 있습니다. 보안 연구원은 이미 수십 년 전에 이 크랙을 지적했지만 당시 커뮤니티는 이를 악용하는 것이 너무 복잡해 보였기 때문에 이를 폐기했습니다. 오류는 코드에 묻혀 있었습니다. 여기에 불편한 세부 사항이 추가되었습니다. 지난 10년 동안 PHP가 직면한 가장 심각한 버그 아무도 그것을 발견하지 못했습니다.
기계가 그것을 발견했습니다. 미국의 한 보안 회사는 가장 진보된 모델 중 하나를 사용했습니다. 오픈AI 소스코드를 뒤져 크랙을 찾아보세요. 연구원들은 이를 인공지능이 탐지한 보안 결함 중 가장 심각한 것으로 묘사합니다. 거기에는 역설이 있습니다. 우리가 그것을 발견할 수 있게 해 준 동일한 도구가 악용하다. 인간 분석가가 감사하는 데 몇 달이 걸렸을 작업을 훈련된 모델을 사용하면 오후에 완료됩니다.
Chainguard 유출과 10,000줄의 코드 경쟁
8월부터 소수의 개발자 그룹이 조용히 작업을 진행해 왔습니다. 약 200개의 수정된 파일. 시계 반대 방향으로 작성된 10,000줄 이상의 코드 10월 22일 목요일 이전에 문을 닫습니다. 계획은 외과적이었습니다. 배포자를 위한 패치 준비, 공지 조정 및 동시 출판이었습니다.
화요일에 달력이 깨졌습니다. 체인 가드고객이 두 번째 제로에서 업데이트할 수 있도록 사전에 패치를 받은 배포자 중 하나인 가 이 소식을 발표했습니다. ‘이제 모든 공격자는 나머지 PHP 사용자가 공개를 기다리고 있는 동안 바이너리 형식의 수정 사항을 연구할 수 있습니다.’라고 재단은 다른 사람들의 작업에 대한 몇 주간의 경멸을 언급하면서 한탄했습니다. 세계에 대한 경고는 수요일에 나왔습니다. 이번주 목요일에 업데이트됩니다.
10년 동안 인간의 눈에 감춰졌던 버그가 어느 날 오후 기계로 발견됐다. 이제 그 기계는 누구나 사용할 수 있습니다.
워싱턴 로직
이 판결은 매우 구체적인 이유로 워싱턴에 중요합니다. PHP는 어느 회사의 제품이 아닙니다. PHP는 은행, 의료, 행정, 공급망 등 중요한 인프라를 지원하는 무료 소프트웨어이며 NGO 예산을 사용하는 소수의 자원봉사자에 의해 유지 관리됩니다. 시스템적 위험과 가용 자원 간의 불일치 그것은 10년 동안 테이블 위에 있었습니다.
가장 명확한 선례는 2021년 12월 Java 라이브러리에서 발견된 크랙인 Log4Shell입니다. 이 크랙은 거의 누구도 존재하지 않았으며 전 세계 절반에서 패치를 즉석에서 수행하도록 했습니다. 그 에피소드에서 사이버 보안 검토 위원회(연방 정부가 대규모 실패를 감사하기 위해 만든 기관)와 일련의 지침이 나왔습니다. NIST 소프트웨어 공급망에서.
이 분야에 대한 백악관의 논리는 혼합되어 있습니다. 해당 부문에 대한 간접적인 압력과 자체 공급업체에 대한 직접적인 요구입니다. 국토안보부의 사이버 보안 기관은 오픈 소스에 대해 법률을 제정하는 대신 가이드를 게시하고 중요한 프로젝트에 대한 감사에 자금을 지원하며 계약업체에 유지 관리를 보장하도록 요구합니다. 이 교리는 단순한 이유 때문에 양당의 정권에서도 살아남았습니다. 누구도 서로 경쟁하지 않는다는 것입니다. 법적 책임 비용을 원하지 않는 산업이나 동일한 프로그램에 대해 두 번 지불하고 싶지 않은 납세자에게도 마찬가지입니다.
스페인 상륙은 직접적이다. 중소기업의 기업 웹사이트, 전자 상거래 및 관리 플랫폼의 상당 부분과 이를 지원하는 콘텐츠 관리자의 상당 부분이 PHP에서 실행됩니다. 그 인시베 CCN-CERT는 내부 경보를 발령하도록 요청받은 조직이며 실제 노출 기간은 몇 시간 단위로 측정됩니다.
여기에 공급업체의 평판 문제도 추가됩니다. 호스팅패치가 제공되었을 때 패치를 적용하지 않은 이유를 고객에게 설명해야 합니다. 예측도 불편합니다. NIST의 취약성 카탈로그는 전체 범위를 반영하는 데 시간이 걸리며 CISA가 연방 기관에 심각한 결함에 대해 부과하는 기한은 몇 달이 아닌 며칠 단위로 계산됩니다.
사건 파일
- 사례: 지난 8월 OpenAI 모델은 웹의 최대 70%를 지원하는 언어인 PHP에서 균열을 발견했습니다. PHP 재단은 이번 주 목요일에 유출된 대규모 패치를 발표했습니다.
- 주요 데이터: CVE-2026-109618 및 CVE-2026-109619; 거의 200개의 수정된 파일과 10,000줄 이상의 코드; 2026년 10월 22일 출판 예정; 이 오류는 수십 년 동안 감지되었지만 복잡성으로 인해 제외되었습니다.
- 스페인의 경우: PHP를 사용하는 중소기업, 전자상거래 및 공공 포털은 즉시 업데이트를 적용하고 기록을 검토해야 합니다. INCIBE 및 CCN-CERT는 공식 경고에 대한 참조입니다.
