무슨 일이 있었나
10월 21일 PHP 재단은 PHP에서 CVE-2026-109618 및 CVE-2026-109619(CVSS 9.2, 'php2shell')를 공개했으며, 이는 웹사이트의 약 70%(PANW 기준 2,260만 건의 취약 인스턴스)에서 인증 없는 RCE/메모리 노출을 가능하게 한다. 이 결함은 8월 1일부터 AI 지원 연구 — Calif.io가 OpenAI GPT-5.6 Sol을 사용하고 OpenAI 및 Wiz와 함께 — 를 통해 독립적으로 발견되었으며, OpenAI의 Patch the Planet 이니셔티브를 통해 조정되었다. Cloudflare는 새로운 전체 트랜잭션 탐지 기능을 사용하여 공개 약 9시간 전에 WAF 완화 조치를 사전 배포했다.
왜 중요한가
조정된 공개 프로그램에서 프론티어 AI로 발견된 최초의 인터넷 규모 치명적 취약점이다: 이는 에이전트 기반 취약점 발견을 방어자 역량으로 입증하면서도 기계 속도 익스플로잇 경쟁을 강조하며, 이번 주 AWS Continuum의 33/37 CVE 결과와 맥을 같이한다.
적용 범위
모든 웹/WordPress 운영자는 PHP를 즉시 패치하고(8.5.12/8.4.27/8.3.36/8.2.35) WAF 규칙을 활성화해야 하며, 보안 팀은 AI 지원 취약점 발견 프로그램을 CVE 트리아주의 주류 입력으로 간주해야 한다.