PHP 코어의 치명적 원격 코드 실행 취약점 PHP2Shell, AI로 발견돼 10월 21일 패치 공개

PHP가 Project Glasswing에 들어간 건지 궁금하네. 10년 넘게 방치된 코드에서 이런 게 나오면 다른 것도 얼마나 숨어 있을지 무섭더라.

OpenAI 글에 Sol이 도왔다고 나와 있고, 오픈소스 프로젝트도 신청 받는다더라. 메시지 보드 대부분이 PHP라 영향 범위가 넓음. 근데 사람은 없고 AI만 한 거 아니냐? 버려진 소스 뒤지는 건 사람한테 재미없는 일이라 AI한테 딱 맞긴 함. 두 버그 모두 AI 이전에 보고됐었다던데, 그럼 그 보고들이 어떻게 수정 없이 빠졌는지도 따져봐야 함.

Wiz 글에 Atlas랑 Gemini 4 Argon 홍보가 꽤 들어가 있더라. 자기 제품 쓰고 자기 제품 얼리 억세스 받은 거 아니냐는 얘기 나올 만함. 패치 나오고 몇 분 만에 공개한 것도 좀 아쉬움.

20년 넘은 코드라는 게 AI 발견의 공통점인 듯. 컴퓨팅 비용은 공개 안 됐는데 사상 첫 RCE처럼 마케팅하는 건 과하지. 그래도 WordPress 사이트가 많아서 뚫리면 내부망 진입 발판이 되니까 큰 문제는 맞음.

AI 회의론자인데, 수천 명이 읽고 리뷰한 코드에서 못 찾은 걸 AI가 찾았다면 그건 의심이 더 가긴 함. 근데 나도 비슷한 경험 있음. 에이전트가 무관한 작업 하다가 파일 하나 보고 10년 된 허점을 찾더라.

타임라인 보면 8월 24일 보고, 9월 21일 응답, 10월 21일 공개인데 두 달은 너무 길다. 응답까지 한 달 걸린 것도 이상하고, 보고 채널이 제대로 된 곳이 아니었을 수도 있음.

나 AWS에 있을 때 Spectre랑 Meltdown 터졌는데 한 달 전에 통보받고 팀 꾸렸음. 그때도 알던 사람이 30명 넘었음. 이번엔 PHP 쓰는 회사 전부가 대상이라 패치 적용하는 사람 중 한 명만 자랑하려고 유출해도 끝임.

calif.io는 8월 11일에 먼저 공개 절차를 시작했다던데 Wiz는 8월 24일이라 누가 누구랑 어떻게 엮였는지 헷갈림. 그쪽 글도 같이 봐야 전체 그림이 나옴.