AI Trend
PHP2Shell: How AI Turned an Ignored Crash Bug Into a Master Key
PHP2Shell — 방치된 충돌 버그가 AI를 만나 마스터키가 된 이야기
읽기 도움말단어 수준자주 쓰는 3,000 단어가 본문의 89%예요. 그 밖의 단어는 100단어에 11개꼴이에요.
- 1K74%
- 2K10%
- 3K5%
- 5K5%
- 5K+6%
5,000 단어 밖 attackers · exploitation · harmless · unaddressed · independently · sponsorship · arbitrary · attacker
Hook
A Boring Bug Report With a Hidden Door
숨은 문이 달려 있던 지루한 버그 신고
What if a boring crash report, filed back in 2024, turned out to be a master key to a big slice of the internet once AI joined the hunt? In October, that is exactly what happened: two flaws called PHP2Shell let attackers run code on web servers, and PHP is used by roughly 70 percent of websites. Patches arrived on October 21, but attackers had a head start: Amazon spotted an attempt on October 17, and CISA later confirmed active exploitation.
여러분, 2024년에 접수된 지루한 오류 신고 하나가 AI가 파헤치기 시작하자 인터넷 상당 부분을 여는 마스터키로 드러났다면 어떨 것 같나요? 10월에 정말 그런 일이 벌어졌는데, PHP2Shell이라 불리는 결함 두 개로 공격자가 웹 서버에서 코드를 실행할 수 있었고 PHP는 전체 웹사이트의 약 70%가 쓰는 언어예요. 패치는 10월 21일에 나왔지만, 아마존이 10월 17일의 공격 시도를 포착하고 미국 사이버보안청 CISA가 이후 실제 악용을 확인할 만큼 공격자들은 한발 앞서 있었어요.
What's new
From Harmless Crash to Master Key
얌전한 충돌 버그가 마스터키가 되기까지
PHP, short for "personal home page," is a programming language from 1994, and many older websites still lean on it. The bug behind PHP2Shell was reported as far back as 2024, but it looked like a harmless crash, so it stayed . Earlier this year, the security firm Calif offered to PHP , with sponsorship from OpenAI. Within two weeks, a Calif researcher working with AI tools found a way to turn that quiet bug into running arbitrary code on the server. In plain terms, an attacker could install or read sensitive data, so a minor crash bug had become a critical .
PHP는 'personal home page'의 줄임말로, 1994년에 나온 프로그래밍 언어인데 오래된 사이트들이 지금도 많이 기대고 있어요. PHP2Shell의 뿌리가 된 버그는 이미 2024년에 보고됐지만 프로그램이 멈추는 정도의 무해한 오류처럼 보여서 손대지 않은 채 남아 있었어요. 올해 초, 보안 회사 Calif가 OpenAI의 후원을 받아 PHP를 독립적으로 점검하겠다고 나섰어요. 2주 안에 AI 도구를 쓰던 Calif 연구원이 그 조용한 버그를 서버에서 임의의 코드를 실행하는 방법으로 바꿔 냈어요. 쉽게 말해 공격자가 악성 프로그램을 심거나 민감한 데이터를 읽을 수 있게 되면서, 사소한 충돌 버그가 치명적인 취약점으로 바뀐 셈이에요.
Why it matters
Why AI Changes the Math of Security
AI가 보안의 계산법을 바꾸는 이유
IEEE Spectrum says PHP2Shell may be a canary in the coal mine: Matt Suiche of Tolmo says 40 years of human-written software is being exposed. Columbia University's Suman Jana says exploiting the bug is "not really rocket science," just very specific, painful reasoning that AI has done a very good job at. He stresses that AI cannot do it all, as the researchers involved had deep , but it helps the top 0.1 percent of experts get far more done. Jana points to a fundamental : a must close every part of the attack without breaking features, and four engineers needed two months. This strains defenders, especially open-source maintainers without clear revenue, and Jana wants frontier AI labs to donate more of their token budgets. Jana is hopeful about formal verification: an LLM writes the , another proves it, and a non-LLM checker confirms it because LLMs . Matthew Green of Johns Hopkins is less optimistic: he expects nobody to fix this problem until something really bad happens, maybe in early 2027.
IEEE 스펙트럼은 PHP2Shell이 앞으로 닥칠 위험을 먼저 알리는 '탄광 속 카나리아'일지도 모른다고 하고, 보안 스타트업 Tolmo의 맷 수이쉬(Matt Suiche)는 사람이 40년간 만든 소프트웨어가 속속 드러나고 있다고 말해요. 컬럼비아대 수만 자나(Suman Jana) 교수는 이 버그를 악용하는 일이 '로켓 과학까지는 아니고' 아주 구체적이고 골치 아픈 추론일 뿐인데, AI가 그걸 아주 잘해 왔다고 말해요. 다만 그는 AI가 혼자 다 할 수는 없고 관련 연구자들도 깊은 전문성을 갖췄다고 강조하면서, 상위 0.1% 전문가는 AI 덕에 훨씬 많은 일을 해낼 수 있다고 봐요. 자나 교수는 패치가 공격의 모든 경로를 막으면서 기존 기능도 망가뜨리지 않아야 하는 근본적인 비대칭을 짚는데, 이번에는 엔지니어 네 명이 두 달 걸렸어요. 이 비대칭은 수익원이 뚜렷하지 않은 오픈소스 관리자들에게 특히 부담이 되고, 자나 교수는 선두 AI 연구소들이 AI 사용 예산(토큰)을 더 기부하길 바라요. 자나 교수는 LLM이 패치를 쓰고 다른 LLM이 증명한 뒤, LLM이 틀린 내용을 지어낼 수 있어서 LLM이 아닌 검증기가 마지막으로 확인하는 형식 검증에 기대를 걸어요. 존스 홉킨스대의 매슈 그린(Matthew Green) 교수는 덜 낙관적인데, 정말 나쁜 일이 터지기 전에는 아무도 이 문제를 고치지 않을 거고 그 시점은 2027년 초쯤일 거라고 내다봐요.
Korea angle
The Same Software Runs Closer to Home
같은 소프트웨어는 우리 곁에서도 돌고 있어요
PHP runs roughly 70 percent of websites, so Korean company homepages, online shops, and blogs built on it may have faced the same exposure. Here is the catch: updating WordPress or another app does not update the PHP runtime underneath it, which comes from your server package, host, or container image. That makes ownership the first question for Korean IT teams: who patches PHP, and when, on every server and hosting plan you inherited?
PHP는 전체 웹사이트의 약 70%에서 쓰이니까, PHP로 만든 한국의 회사 홈페이지나 쇼핑몰, 블로그도 같은 위험에 놓였을 수 있어요. 여기서 중요한 건, 워드프레스 같은 앱을 업데이트해도 그 밑의 PHP 실행 환경은 따로 업데이트해야 하고 그 환경은 서버 패키지나 호스팅 업체, 컨테이너 이미지에서 온다는 거예요. 그래서 한국의 IT 팀이 가장 먼저 물어야 할 건 소유권, 즉 물려받은 서버와 호스팅 요금제마다 누가 언제 PHP를 패치하느냐예요.
What you can do
Three Small Habits for This Week
이번 주에 시작할 작은 습관 세 가지
If you run a website, ask your developer or hosting provider this week which PHP version you use and who applies runtime updates. Matthew Green gives everyone a simple rule: when your phone offers a security update, do not wait until next week, just install it. Next time an update notice pops up, treat it as a small payment on 40 years of technical debt, and make that payment today.
웹사이트를 운영하신다면 이번 주에 개발자나 호스팅 업체에 어떤 PHP 버전을 쓰는지, 실행 환경 업데이트는 누가 맡는지 물어보세요. 매슈 그린 교수는 휴대폰이 보안 업데이트를 알려 주면 다음 주까지 미루지 말고 바로 설치하라는, 누구에게나 통하는 간단한 규칙을 줘요. 다음에 업데이트 알림이 뜨면 40년 묵은 '기술 부채', 즉 미뤄 둔 수리 비용을 조금 갚는다고 생각하고, 여러분 스스로 오늘 바로 설치해 보세요.
Recall
다시 읽기 전에, 떠올려 보세요
한국어 문장을 보고 빈칸에 들어갈 영어 표현을 써 보세요. 다시 읽는 것보다 기억에서 꺼내 볼 때 더 오래 남아요.
이 칼럼이 마음에 드셨나요?
새 칼럼이 발행되면 영문 + 한글 본문을 통째로 메일로 보내드려요. 매일 아침, 광고 없이.
언제든 한 번에 해지할 수 있어요.