10월 AI 소식을 PHP2Shell부터 짚어 봤어요
PHP2Shell, 웹사이트의 약 70%가 쓴다는 프로그램에 난 구멍
쥬비스예요. 이 블로그에서는 ChatGPT, 클로드, 제미나이 같은 AI 소식을 출처와 함께 제 말로 풀어 드려요.
10월 한 달 소식이에요. 10월 29일까지 나온 것 가운데 내 홈페이지, 내 돈과 바로 이어진 것만 골랐어요.
새 모델보다 보안 이야기가 먼저예요. 10월 소식 가운데 파장이 제일 컸던 게 PHP2Shell이라고 봐서요.
10월 21일, 웹사이트를 만드는 프로그램 PHP에서 치명적인 구멍 두 개가 발표됐어요. 번호는 CVE-2026-109618과 CVE-2026-109619예요.
비밀번호 없이 서버를 통째로 빼앗을 수 있는 종류라서 위험도 점수가 10점 만점에 9.2예요. 집으로 치면 열쇠 없이 현관문이 열리는 수준이죠.
PHP는 긴급 업데이트를 네 가지 판으로 냈어요. PHP 공지에는 업데이트가 유일한 완전한 해결책이라고 적혀 있어요.
출처: PHP 공식 공지 https://www.php.net/archive/2026.php
사고는 발표 전부터 시작됐어요. 발표 하루 전인 20일에 내용이 먼저 새어 나갔고, 패치가 나온 21일에는 프랑스 파리 경찰 사이트와 네덜란드 전자신분증 서비스 DigiD가 멈췄어요. 벨기에 외교부와 호주 정부 사이트도 영향을 받았고요.
구멍을 찾은 쪽이 AI라는 점도 눈에 띄어요. 보안업체 캘리프가 8월에 OpenAI 모델로 먼저 찾았고, 보안업체 Wiz는 구글 제미나이와 OpenAI 모델의 도움을 받아 따로 찾았다고 해요.
Wiz는 PHP가 전 세계 웹사이트의 약 70%를 움직인다고 추정해요. 맞다면 열 곳 중 일곱 곳이 같은 자물쇠를 쓰는 셈이죠. 긴급 업데이트 판 번호는 아래 그림에 적어 뒀어요.
출처: 코리아타임스 보도 https://koreatimes.co.kr/world/20261022/websites-go-dark-worldwide-as-ai-exposes-critical-security-flaws
그 뒤로 상황이 급해졌어요. 10월 26일 미국 사이버보안·인프라보안국(CISA)이 두 구멍을 실제로 공격에 쓰이는 취약점 목록에 올렸어요. 미국 연방 기관에는 10월 29일까지 조치하라고 했고요.
우리나라도 움직였어요. 10월 28일 과기정통부가 민간 주요 정보통신기반시설을 맡은 111개 기관, 172개 시설을 점검한다고 밝혔어요. 각 기관이 PHP를 쓰는지, 이번 구멍을 해결했는지도 확인한대요.
그럼 작은 가게 사장님은 뭘 하면 될까요? 홈페이지를 맡긴 곳에 먼저 두 가지를 물어보세요. 우리 사이트가 PHP로 돌아가는지, 그렇다면 10월 긴급 업데이트를 했는지요.
수정판이 나온 PHP는 8.5, 8.4, 8.3, 8.2 계열이에요. PHP 8.1 이하는 공식 지원이 끝났고, 오래된 판용 최소 수정본은 따로 나왔어요. 오래된 판이라면 어떤 수정본을 썼는지도 함께 물어보세요. 미국 기관의 조치 기한이던 10월 29일이 지난 뒤 결과는 아직 못 봤어요.
출처: CISA 등재 보도 https://www.bleepingcomputer.com/news/security/cisa-confirms-php2shell-vulnerabilities-now-exploited-in-attacks 출처: 과기정통부 점검 보도 https://www.hankookilbo.com/news/article/A2026102810380000326
AI 개발 도구가 털리고, 국내에서는 AI로 90곳을 턴 일당이 잡혔어요
같은 10월 21일, AI 개발자들 쪽에서도 사고가 났어요. 여러 AI를 한곳에 묶어 쓰게 해 주는 오픈소스 도구 LiteLLM의 1.107.0 판에 열쇠와 비밀번호를 훔치는 악성 프로그램이 섞였어요. 설치 파일 저장소 PyPI에서는 약 2시간 동안 내려받을 수 있었어요.
공식 안내는 이래요. 그 판을 쓴 적이 있으면 해킹당한 것으로 보고, 이전 판으로 고정하고, 쓰던 열쇠와 비밀번호를 전부 바꾸라는 거예요. 이틀 뒤에는 처음 안내 일부를 바로잡은 글도 올라왔어요.
같은 달 국내에서도 사건이 있었어요. 10월 26일 서울경찰청 사이버수사과가 생성형 AI로 기업과 기관 약 90곳을 해킹한 일당을 붙잡았다고 밝혔어요. 총책과 공범 6명, 모두 7명이에요.
숫자로 보면요, 병원, 골프장, 대학, 학원 같은 곳에서 개인정보와 내부 문서 등 820만 건이 빠져나갔어요. 38곳에는 협박 메일을 보내 3억 6천만 원을 요구했고요. 실제로 돈을 보낸 곳은 1곳, 30만 원이었다고 해요.
총책은 8월부터 생성형 AI를 본격적으로 썼다고 해요. 어떤 AI인지는 기사에 나오지 않았어요.
이 사건은 PHP 구멍과는 따로 벌어진 일이에요. 다만 같은 달에 구멍을 찾는 쪽에서도, 공격하는 쪽에서도 AI가 쓰였다는 점은 함께 기억해 둘 만해요.
출처: LiteLLM 공식 안내 https://docs.litellm.ai/blog/security-incident-oct-21-2026 출처: 중앙데일리 보도 https://www.koreajoongangdaily.com/korea/seven-arrested-for-using-generative-ai-to-hack-90-organizations/12938493
ChatGPT 광고는 89개국으로, 새 모델 값은 어떻게 됐을까요
분위기를 바꿔서 광고 이야기예요. OpenAI가 10월 21일 ChatGPT 광고를 26개 나라에 더 열어서 모두 89개국이 됐어요. 광고주는 10만 곳을 넘었어요. 다만 한 번이라도 광고를 돌려 본 곳의 누적이라고 광고 업계 매체 PPC Land가 짚었어요.
광고는 무료판과 Go 요금제에만 붙고, Plus, Pro, Enterprise에는 안 붙어요.
검색창, SNS 다음 광고판이 AI 대화창으로 옮겨 가는 신호로 읽혀요. 손님이 AI에게 근처 꽃집을 추천해 달라고 묻는 날, 그 답 옆에 무엇이 뜰지는 지금부터 지켜볼 일이에요.
새 모델 소식도 짚을게요. 10월 7일 OpenAI가 GPT-6를 무료 이용자에게까지 열기 시작했어요. 요금제마다 쓰는 GPT-6 모델이 달라요. 같은 날 앤트로픽은 작은 모델 Claude Haiku 5.5를 냈어요.
Haiku 5.5는 100만 토큰당 입력 0.1달러, 출력 0.5달러예요. 요청 한 번이 10만 토큰 이하일 때 기준이고, 토큰은 AI가 글을 잘게 쪼개 세는 단위예요.
앤트로픽은 바로 앞 모델 Haiku 4.5보다 평균 약 75% 싸게 돌릴 수 있다고 설명해요. 짧은 요청만 보면 90% 싸요. 10만 토큰이 넘는 요청은 50% 싸고요.
10월 13일에는 구글 Gemini 4 Argon이 나왔어요. 구글은 가장 어려운 문제를 풀도록 만든 모델이라고 소개해요. Ultra, Pro 구독자는 제미나이 앱과 구글 검색의 AI 모드에서 쓸 수 있고요.
개발자 값은 11월 30일까지 100만 토큰당 입력 2달러, 출력 10달러예요. 그 뒤에는 두 배로 올라요.
출처: OpenAI 광고 확대 보도 https://www.thestar.com.my/tech/tech-news/2026/10/21/openai-expands-chatgpt-ads-to-26-more-countries-in-bid-to-boost-revenue 출처: 광고주 수 설명 https://ppc.land/advertisers-in-26-more-countries-gain-chatgpt-ads-bringing-the-total-to-89/ 출처: 앤트로픽 Haiku 5.5 https://www.anthropic.com/claude-haiku-5-5 출처: 구글 Gemini 4 Argon https://blog.google/innovation-and-ai/models-and-research/gemini-models/introducing-gemini-4-argon/
AI가 먼저 말을 거는 시대, Claude Duet과 카카오 모두의 AI
제가 10월 소식 가운데 가장 눈여겨본 건 Claude Duet이에요. 묻기 전에 먼저 챙겨 주는 비서라는 점이 지금까지의 AI와 달라서요.
10월 21일 앤트로픽이 연구 미리보기로 공개했어요. 매일 아침 연결된 앱의 중요한 항목을 모아 보내 주고, 몇 시간마다 연결된 계정을 살펴서 주의가 필요할 때만 메시지를 보내요. 자리를 비워도 자기 가상 컴퓨터에서 맡긴 일을 계속해요.
메시지 보내기, 결제, 서명, 삭제 전에는 하려는 일을 보여 주고 허락을 기다려요.
앤트로픽은 할 일이 많은 전문직과 소상공인을 위해 만들었다고 밝혔어요. 다만 아직은 미국 Pro, Max 구독자 대기 명단부터 여는 미리보기라서 한국에서 바로 써 볼 수는 없어요. 긴급한 정도를 잘못 판단할 수 있다는 한계도 앤트로픽이 직접 적어 뒀어요.
한국 소식도 있어요. 10월 14일 카카오가 개발자 행사 if(kakao)26에서 모두의 AI를 공개했어요. 카카오톡에서 일상 말투로 물어보면 장소와 시간을 확인하고 식당 예약까지 해 주는 서비스예요.
모두의 AI는 과기정통부가 추진하는 사업이고, SK텔레콤, KT, 카카오 세 컨소시엄이 각자 서비스를 만들어요. 카카오는 12월 정식 출시가 목표예요.
손님이 카카오톡에 내일 저녁 6시 두 명 예약을 부탁하면 AI가 가게를 찾아 주는 날이 온다고 해 볼게요. 그때는 가게 정보가 제대로 나와 있는 곳이 유리하지 않을까 싶어요.
메타도 10월 12일 개인·업무용 AI 에이전트에 맞춘 최신 모델 Muse Wonder를 냈어요. 11월에는 PHP2Shell 점검 결과와 Duet이 한국에 오는지를 지켜볼게요.
출처: Claude Duet 소개 https://claude.com/resources/articles/claude-duet 출처: 카카오 모두의 AI 보도 https://zdnet.co.kr/view?no=20261014143204 출처: 메타 Muse Wonder https://research.meta.ai/blog/muse-wonder
30초 요약이에요. 1. 10월 21일 PHP에서 위험도 9.2점짜리 구멍 두 개가 발표됐어요. 홈페이지를 맡긴 곳에 업데이트했는지 물어보세요. 2. 10월 26일 서울경찰청이 생성형 AI로 약 90곳을 해킹한 7명을 붙잡았다고 밝혔어요. 3. ChatGPT 광고는 89개국으로 늘었고, 무료판과 Go 요금제에만 붙어요.
이 글은 네이버 블로그에 먼저 실렸습니다 → 네이버 블로그에서 보기
