AI, PHP 치명적 취약점 공격 증명 스스로 작성… 보안계 'AI 시대' 도래 경고

노형석 기자

작성일 2026-10-27 08:25

인공지능(AI) 기반 사이버 보안 모델인 OrcaRouter가 PHP의 치명적인 원격 코드 실행 취약점 두 건에 대한 공격 증명(Proof of Concept)을 스스로 작성했다고 공식 채널을 통해 밝혔다.

OrcaRouter는 2026년 10월 22일 발표한 내용을 통해, 자사의 사이버 모델 OrcaCyber Zero 1.5가 사람이 단계별 지시 없이도 PHP 엔진 자체의 결함을 조사하고 이를 악용하는 공격 코드를 완성했다고 전했다. 이 결함은 웹사이트나 플러그인을 최신 상태로 유지하더라도 PHP 엔진 자체에 존재하기 때문에, 사용자가 최신 보안 업데이트를 적용했더라도 그대로 위험에 노출될 수 있다는 것이 OrcaRouter 측의 설명이다.

이번에 발견된 취약점은 CVE-2026-109618과 CVE-2026-109619로, PHP 5.4 이상 버전, 특히 7.x 계열에 영향을 미치는 것으로 알려졌다. 문제는 PHP 7.4 버전의 경우 2022년 11월 28일부로 지원이 종료되어, 이후 발견된 취약점에 대한 보안 패치가 적용되지 않는다는 점이다. 미국 국가안보국(NSA)은 해당 취약점 발견 즉시 업데이트 적용을 권고했으며, 즉시 적용이 어려운 경우 시스템을 완전히 격리할 것을 당부했다.

OrcaRouter는 공개된 권고문과 버전 정보만을 근거로, 수정 버전이 배포되기 전인 2026년 10월 21일 이전에 이미 공격 체인을 완성했다고 밝혔다. 이는 AI가 인간의 개입 없이도 취약점 탐색을 넘어 실제 공격 재현까지 자율적으로 수행할 수 있음을 보여주는 사례로 평가된다.

하지만 OrcaRouter는 취약점의 심각성과 웹 전반에 미칠 잠재적 영향을 고려하여, 악용 코드와 공격에 대한 세부 기술 내용은 공개하지 않기로 결정했다. 공격 증명의 재현 절차와 페이로드 역시 공개하지 않는다는 방침이다.

OrcaCyber Zero 1.5는 취약점 연구, 재현, 익스플로잇 개발, 침투 테스트 등 고급 사이버 추론을 위해 사후 학습된 모델로 알려졌다. OrcaRouter는 이 모델이 검증된 팀에게만 제한적으로 접근 권한을 부여하며, 모든 사용은 엄격한 보안 정책 하에 관리된다고 강조했다.

이번 AI의 자율적인 공격 증명 작성 사례는 보안 방어자들에게 새로운 과제를 안겨주고 있다. 특히 지원이 종료된 PHP 버전을 사용하는 경우, 최신 WordPress 및 플러그인을 사용하더라도 여전히 취약점에 노출될 수 있다는 점이 확인되었다. 이는 AI 기술의 발전이 가져올 사이버 보안 환경의 급격한 변화를 예고하는 사건으로 해석된다.