전 세계 웹사이트의 약 70%를 구동하는 핵심 오픈소스 프로그래밍 언어 PHP에서 10년 이상 방치되었던 치명적인 보안 결함이 드러나며 전 세계 인터넷 인프라가 거센 충격에 휩싸였다. 공식 보안 패치가 전 세계에 공개되기도 전에 정체불명의 공격자가 해당 결함을 무기화해 실제 공격에 착수한 정황이 확인되었기 때문이다. 아르스테크니카(Ars Technica) 보도에 따르면 아마존 위협 인텔리전스(Amazon Threat Intelligence)는 공식 패치가 발표된 2026년 10월 21일보다 나흘 앞선 10월 17일 자사 위협 유인 시스템인 매드팟(MadPot)에서 해당 취약점을 악용하려는 시도가 이미 발생했음을 확인했다고 밝혔다. 이번에 확인된 취약점 집합은 PHP2Shell로 명명되었으며 세부적으로는 CVE-2026-109618 및 CVE-2026-109619 두 건의 결함으로 구성된다. 공통 취약점 점수 시스템(CVSS) v4.0 평가에서 두 취약점은 모두 위험 수준의 최고 단계에 가까운 9.2점의 심각도(Critical)를 부여받았다. 외부 침입자가 사전 인증 절차를 거치지 않고도 임의의 시스템 명령어를 원격으로 실행할 수 있는 사전 인증 원격 코드 실행(pre-authentication RCE)을 허용한다는 점에서 파괴력이 극도로 높다. 조사 결과 이 결함들은 캘리프(Calif), 오픈AI(OpenAI), 구글 모회사 알파벳이 인수한 보안 기업 위즈(Wiz) 연구원들이 AI 도구를 활용해 발굴한 것으로, 10년 넘게 은폐되어 있던 PHP 내부 메모리 관리 및 오류 처리 핵심 코드의 취약점으로 드러났다. 문제는 보안 전문가들이 취약점을 조용히 보완하기 위해 가동하는 공식 엠바고 절차가 무력화되었다는 점이다. 통상적인 조율된 취약점 공개(Coordinated Disclosure) 체계는 취약점 발견 사실을 소프트웨어 관리 주체에게만 비공개로 전달해 방어 패치를 먼저 완성한 뒤 일반에 공개하도록 설계되어 있다. 그러나 아마존의 CJ 모제스(CJ Moses) 최고정보보안책임자(CISO)는 이번 공격 시도가 상용 익명화 네트워크와 연계된 IP 주소에서 발원했다고 밝히며, 해당 결함이 엠바고 보호 아래 있던 시점에 익명 IP를 통해 유인 시스템을 타격했다는 점은 위협 행위자의 조직적인 공작임을 시사하지만 이들이 공식 발표 전에 침투 정보를 어떻게 입수했는지는 명확히 규명되지 않았다고 설명했다. 취약점 공개 이후 침투 코드가 만들어지기까지 걸리는 시간 공식도 AI 도구의 등장으로 완전히 붕괴했다. 기존 보안 생태계에서는 소수의 고도로 숙련된 전문 해커가 패치 전후 코드의 차이를 역분석해 실증 공격 코드(PoC)를 제작하기까지 수일에서 수주의 완충 시한이 존재했으며 대다수 일반 공격자들은 이를 기다려 악용하는 구조였다. 반면 최근에는 고도화된 AI 기반 코드 분석 도구가 보편화되면서 패치 차이점 분석(diff)을 거쳐 실제 동작하는 익스플로잇을 무기화하는 데 걸리는 시간이 수 시간 또는 수 분 단위로 단축되었다. 코스틴 라이우(Costin Raiu) TLP:Black 공동창업자 역시 AI 도구가 취약점 악용 경쟁을 한층 가속하고 있다고 짚었다. 사태가 급박해지자 PHP 재단은 2026년 10월 21일 14시(UTC)를 기해 현재 공식 지원 대상인 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 버전을 대상으로 긴급 보안 패치를 배포했다. 하지만 상용 익명화 네트워크와 호주 소재 IP(103.216.220.92) 등을 경유한 무단 악용 시도가 이미 실제 인터넷 환경(in the wild)에서 광범위하게 확산 중인 상태다. AI 분석 기술이 방어자의 탐지 역량뿐 아니라 공격자의 무기화 속도까지 동시에 비약적으로 끌어올리면서 며칠 단위의 대응 여유를 상정해 왔던 기존 보안 관리 규정과 패치 프레임워크 전반의 근본적인 재편이 불가피해졌다.