돈은 위기가 닥친 뒤에야 들어왔습니다. Heartbleed 이후 십여 개 기업이 코어 인프라 이니셔티브를 통해 3년 동안 각각 연 10만 달러씩 내기로 약속했고, OpenSSL 개발자 두 명은 전업으로 일하게 되었습니다.
오늘의 트렌드로 돌아가기: PHP 결함 두 개로 낯선 사람이 웹사이트를 장악할 수 있습니다; 일부는 안전을 위해 중단됐습니다
Poly 랭킹 · 오늘의 트렌드에서
최악의 인터넷 보안 취약점: Log4j, Heartbleed, PHP 2026
Heartbleed 이전에는 웹의 HTTPS 서버 상당수를 뒷받침하던 암호화 라이브러리가 연간 약 2,000달러의 기부금으로 운영되고 있었습니다. 그로부터 7년 뒤, 만점인 10점을 받은 Log4Shell은 공개 경고 최소 8일 전부터 공격당했습니다.
- 1위: Log4Shell (Log4j, CVE-2021-44228)
- 10개 순위
01최종 목록
선도 AI들이 각자 독립적으로 열 개짜리 목록을 만들었습니다. 확인하기 쉬운 하나의 결과입니다. 모든 순위에는 이유, 출처, 그 항목을 넣은 AI 목록이 있습니다.
순서: AI의 동의가 많은 항목부터 적은 항목 순입니다.
밝은 배지는 해당 AI가 이 항목을 자기 목록에 넣었다는 뜻이고, 흐린 배지는 넣지 않았다는 뜻입니다.
- 1
Log4Shell (Log4j, CVE-2021-44228)
비밀번호 없이 공격할 수 있는 만점 10.0점입니다. 2021년 12월 1일부터 경고 8일 전에 공격당했습니다. 무보수 관리자는 출처에 따라 3명 또는 16명의 자원봉사자입니다.
포함함: Claude, Meta, Nemotron, Gemini. 포함하지 않음: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.각 AI 목록에서의 순위: Claude: 1 · Meta: 1 · Nemotron: 6 · Gemini: 1
각 AI가 짚은 점 4
- Claude1위
Cloudflare는 2021년 12월 1일에 공격이 성공한 것을 확인했습니다. 공개 경고보다 적어도 9일 앞선 시점입니다. 이 코드는 Apache 재단이 보수를 주지 않는 자원봉사 팀이 유지하고 있었습니다.
출처 ↗ - Meta1위
Perfect 10.0 CVSS, 400k exploit attempts in 2 days, 30% still vulnerable after 60 days, fixed by 16 unpaid volunteers
출처 ↗ - Nemotron6위
Duplicate entry; see rank 1.
출처 ↗ - Gemini1위
A single line of text in a free logging package run by three unpaid volunteers exposed an estimated three billion devices across the world's largest cloud providers.
출처 ↗
AI 4개가 이 순위로 선택 - 2
Heartbleed (OpenSSL, CVE-2014-0160)
점수는 v2에서 5.0, v3에서 7.5에 불과했지만 개인 키가 유출되었습니다. 약 60만 대의 서버가 취약했고, 두 달 뒤에도 약 30만 대가 여전히 취약했습니다. OpenSSL은 연간 약 2,000달러로 운영되었습니다.
포함함: Claude, Meta, Nemotron, Gemini. 포함하지 않음: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.각 AI 목록에서의 순위: Claude: 2 · Meta: 2 · Nemotron: 2 · Gemini: 2
각 AI가 짚은 점 4
- Claude2위
CISA는 이 취약점을 2022년 5월 4일에야 악용된 취약점 목록에 올렸습니다. 수정된 지 8년 뒤입니다. 위기 전에 OpenSSL을 운영하는 재단에는 상근 직원이 한 명뿐이었고, 기부금은 연간 약 2,000달러였다고 전해집니다.
출처 ↗ - Meta2위
600k servers initially vulnerable, 309,197 still leaking memory after 2 months, OpenSSL had $2,000 yearly donations and 4 volunteers
출처 ↗ - Nemotron2위
CVSS 7.5 but exposed private keys of ~17% of HTTPS sites; exploited within hours; patching took months for many; OpenSSL had ~4 core developers, <$1M/yr funding.
- Gemini2위
A cryptographic library protecting two-thirds of the world's encrypted web servers was kept alive on roughly $2,000 a year in donations by a single full-time maintainer.
AI 4개가 이 순위로 선택 - 3
Shellshock (GNU 배시, CVE-2014-6271)
v2에서 10.0점을 받았고, 공개 직후 몇 시간 안에 공격당했습니다. 이 버그는 주로 한 명이 관리하던 셸 배시에 있었고, 관리자는 체트 라미였습니다. CISA는 2022년에야 목록에 올렸습니다.
포함함: Claude, Meta, Nemotron, Gemini. 포함하지 않음: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.각 AI 목록에서의 순위: Claude: 3 · Meta: 4 · Nemotron: 4 · Gemini: 4
각 AI가 짚은 점 4
- Claude3위
수많은 웹 서버 뒤에서 돌아가는 배시 셸의 버그는 공개된 지 몇 시간 만에 공격을 받았습니다. 그런데도 CISA는 2022년 1월에야 이를 목록에 올렸습니다.
- Meta4위
25-year-old bug since 1989 in Bash on every Linux and Mac, CVSS 10.0, first in-the-wild attacks within 24 hours
출처 ↗ - Nemotron4위
CVSS 10.0 in Bash; unauthenticated RCE via environment variables; exploited within days; patching fragmented across Unix-like systems; Bash maintained by ~2 volunteers, minimal funding.
- Gemini4위
A silent command execution flaw lay dormant for 22 years in the default Unix shell that essentially one programmer had maintained since 1989.
AI 4개가 이 순위로 선택 - 4
PHP2Shell (PHP, CVE-2026-109618 및 CVE-2026-109619)
인증 없이 원격 코드 실행이 가능한 취약점 두 개입니다(v4.0에서 9.2점, 한 보고서 기준 v3.1에서 9.8점). 실제 공격이 확인되었는지는 논란이 있으며, 10월 21일 기준 KEV에는 없었습니다.
포함함: Claude, Meta, Nemotron, Gemini. 포함하지 않음: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.각 AI 목록에서의 순위: Claude: 4 · Meta: 3 · Nemotron: 3 · Gemini: 5
각 AI가 짚은 점 4
- Claude4위
새어 나온 제보 덕분에 수정이 하루 앞당겨졌습니다. 그런데도 884,000개 호스트가 여전히 PHP 8.1 이하를 보고했는데, 이 버전 계열은 공식 수정이 나오지 않습니다.
출처 ↗ - Meta3위
69.3% of identifiable web sites run PHP, attacks started 4 days before fix, flaws leaked Oct 20 ahead of Oct 21 patch
출처 ↗ - Nemotron3위
Two critical flaws (CVSS 9.8) in PHP's CGI mode allow unauthenticated RCE; attacks seen before patch; ~78% of web runs PHP; core team ~10 volunteers, ~$200k/yr.
출처 ↗ - Gemini5위
A double memory corruption flaw in the engine powering over 75% of global websites forced emergency weekend patches and prompted government agencies across Europe to take portals offline.
AI 4개가 이 순위로 선택 - 5
XZ Utils 백도어 (CVE-2024-3094)
10.0점이지만, 이것은 버그가 아니라 심어진 백도어였습니다. 한 명뿐인 관리자에게 2년 동안 신뢰를 쌓은 뒤, 널리 배포되기 전 SSH 접속이 반 초 느려진 것으로 발견되었습니다.
포함함: Claude, Meta, Gemini. 포함하지 않음: ChatGPT, Grok, Nemotron, StepFun, Kimi, DeepSeek, Wenxin.각 AI 목록에서의 순위: Claude: 5 · Meta: 5 · Gemini: 3
각 AI가 짚은 점 3
- Claude5위
관리자가 한 명뿐인 프로젝트를 여러 해에 걸쳐 장악하려던 시도가, 대부분의 리눅스 안정 버전에 닿기 전에 한 엔지니어에게 우연히 발견되었습니다.
출처 ↗ - Meta5위
Intentional backdoor after 2-year grooming of exhausted volunteer, CVSS 10.0, caught by 500ms SSH latency anomaly weeks before stable release
출처 ↗ - Gemini3위
A multi-year covert operation targeted the psychological exhaustion of a lone, unpaid maintainer in Finland to plant a master key directly into Linux SSH logins.
출처 ↗
AI 3개가 이 순위로 선택 - 6
Spring4Shell (스프링 프레임워크, CVE-2022-22965)
9.8점이며, 공개 후 24시간 안에 공개 공격 코드가 나왔고, CISA는 공개 4일 뒤 목록에 올렸습니다. 여기 있는 대부분과 달리 이 프로젝트에는 VM웨어의 기업 후원이 있었습니다.
포함함: Claude, Meta, Nemotron. 포함하지 않음: ChatGPT, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin.각 AI 목록에서의 순위: Claude: 9 · Meta: 8 · Nemotron: 7
각 AI가 짚은 점 3
- Claude9위
Log4Shell의 후속이라는 별명이 붙은 이 취약점은 2022년 4월 4일 CISA 목록에 올라왔고, 조치 기한은 21일이었습니다.
출처 ↗ - Meta8위
CVSS 9.8 RCE in Spring MVC/WebFlux on JDK 9+, exploit public within 24h, Spring powers millions of enterprise Java apps
출처 ↗ - Nemotron7위
CVSS 9.8 in Spring Framework; unauthenticated RCE via data binding; exploited within days; widespread in enterprise Java; Spring team ~20 engineers, funded by VMware/Tanzu.
출처 ↗
AI 3개가 이 순위로 선택 - 7
GHOST (glibc, CVE-2015-0235)
2000년 이후 거의 모든 리눅스 시스템에 있던 힙 오버플로 취약점입니다. AI마다 점수를 10.0(v2), 9.8, 7.5로 다르게 매기며, 고치려면 모든 네트워크 서비스를 다시 시작해야 했습니다.
포함함: Meta, Nemotron, Gemini. 포함하지 않음: Claude, ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.각 AI 목록에서의 순위: Meta: 7 · Nemotron: 10 · Gemini: 9
각 AI가 짚은 점 3
- Meta7위
Heap overflow in gethostbyname since glibc 2.2 in 2000, CVSS 10.0, affects virtually every Linux system, patch lag 15 years
출처 ↗ - Nemotron10위
CVSS 7.5 in glibc gethostbyname; unauthenticated RCE via DNS; exploited within days; patching across Linux distros fragmented; glibc maintained by ~10 volunteers, funded by Red Hat/others.
- Gemini9위
A buffer overflow in the core GNU C resolver function quietly underwrote almost every connected Linux application from 2000 until 2015.
AI 3개가 이 순위로 선택 - 8
아파치 스트러츠 / 에퀴팩스 (CVE-2017-5638)
2017년 3월 패치 바로 다음 날 공격 코드가 나왔습니다. 에퀴팩스는 패치되지 않은 서버 한 대 때문에 여전히 1억 4,660만 명의 정보를 잃었습니다(다른 출처는 1억 4,790만 명이라고 합니다).
포함함: Claude, Meta. 포함하지 않음: ChatGPT, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.각 AI 목록에서의 순위: Claude: 7 · Meta: 6
AI 2개가 이 순위로 선택 - 9
React2Shell (React Server Components, CVE-2025-55182)
10.0점이며, 요청 하나만으로 공격할 수 있었습니다. 섀도서버 스캔에서 노출된 IP는 일주일 만에 77,664개에서 137,200개 넘게 늘었고, 30곳 이상의 기관이 침해당했습니다(한 출처 기준).
포함함: Claude. 포함하지 않음: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.각 AI 목록에서의 순위: Claude: 6
각 AI가 짚은 점 1
- Claude6위
웹 요청 하나면 충분했습니다. 섀도서버의 스캔에서 노출된 IP 주소는 일주일 만에 77,664개에서 137,200개 넘게 늘었습니다.
출처 ↗
AI 1개가 이 순위로 선택 - 10
PHP-CGI 인자 주입 (CVE-2024-4577)
PHP의 이전 긴급 사태입니다. 한 랜섬웨어 조직이 2024년 6월 수정 후 약 2일 만에 이를 이용했고, 약 25만 대의 윈도우 PHP 서버가 노출되었습니다(한 업체의 추정).
포함함: Claude. 포함하지 않음: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.각 AI 목록에서의 순위: Claude: 8
각 AI가 짚은 점 1
- Claude8위
윈도우의 '최적 맞춤' 문자 변환 기능 때문에 낯선 사람이 코드를 실행할 수 있었습니다. 2024년 6월 수정이 나온 지 며칠 만에 랜섬웨어 조직이 이를 악용했습니다.
출처 ↗
AI 1개가 이 순위로 선택
02알아 둘 만한 것
AI들이 목록을 만들며 발견한 것.
CISA는 Heartbleed를 수정 8년 뒤인 2022년 5월에 악용 목록에 올렸습니다. KEV 날짜는 공격이 시작된 시점이 아니라 목록을 만든 시점을 보여 줍니다.
XZ 백도어는 실수로 생긴 버그에서 사회공학 기법으로 바뀌었습니다. 한 공격자는 지친 한 명의 관리자를 '도와주며' 약 2년에 걸쳐 코드 반영(커밋) 권한을 얻었습니다.
Log4j를 유지한 자원봉사자가 몇 명인지는 논란이 있습니다. InfoWorld와 헬프 넷 시큐리티에 따르면 무보수 자원봉사자는 16명이었고, 다른 답변들은 약 3명이라고 합니다. 1년 뒤에도 관리자 랄프 고어스는 정규직 일자리 두 개를 병행한 채 무보수로 계속 작업했습니다.
웹에서 PHP가 차지하는 비율은 W3Techs 집계 69.3%(2026년 10월 21일, 서버 언어를 알 수 있는 사이트 기준)로 나오며, 다른 답변에서는 76~78%로 나옵니다. 어느 쪽이든, PHP 핵심의 결함은 WordPress나 드루팔의 버그보다 더 많은 사이트에 닿습니다.
03집계 방법
공식 없이 쉬운 말로.
1질문
인터넷의 숨은 기반에 있는 결함 10선: Heartbleed부터 오늘의 PHP 비상 사태까지
2이 주제를 고른 이유
오늘의 PHP 결함을 Heartbleed, Shellshock, Log4Shell과 같은 선에 놓고, 공격 속도와 패치 속도를 맞대어 보여 줍니다. 어느 한 목록도 이렇게 하지 않습니다.
3적용 범위
전 세계; 인터넷 상당 부분이 의존하는 오픈소스 소프트웨어
4살펴본 기준
- 심각도 점수, 그리고 낯선 사람이 비밀번호 없이 장악할 수 있는지 여부
- 공개 후 확인된 공격까지 걸린 일수
- 전 세계에서 노출된 서버 대부분이 패치되기까지 걸린 시간
- 해당 소프트웨어를 관리한 자원봉사 팀의 규모와 자금
- NIST 국가 취약점 데이터베이스(NVD) — CVSS 심각도 점수와 비밀번호 없이 취약점을 쓸 수 있는지 여부
- CISA 알려진 악용 취약점(KEV) 목록 — 실제 공격이 확인된 취약점, CISA가 각 취약점을 목록에 올린 날짜, 연방 패치 기한
- 섀도서버 재단 스캔(BleepingComputer 보도 기준) — 수정 후에도 취약한 코드를 돌리는 인터넷 노출 IP
- Censys의 Log4j 회고 — 시간에 따라 Log4Shell에 여전히 취약해 보이는 인터넷 호스트의 비율
5순위를 매긴 AI
선도 AI: Claude, ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin. 각 AI가 독립적으로 10위까지의 목록을 만들고 순위마다 출처를 밝혔습니다.
6순위를 정한 방법
AI마다 다르게 쓴 같은 항목은 하나로 셌습니다. 더 많은 AI가 목록에 넣고 더 높이 놓을수록 순위가 높아집니다. 'AI 합의'는 그 항목을 자기 목록에 넣은 AI의 수를 보여 줍니다. 출처는 AI가 직접 찾은 것뿐이며 사람이 추가한 것은 없습니다.
04AI별 목록
🇺🇸 Claude10개 순위 · 메모 4개
같은 질문에 Claude 혼자 답한 결과입니다. 위의 최종 목록은 모든 AI를 종합합니다.
- 1Log4Shell (Apache Log4j, CVE-2021-44228, 2021)
Cloudflare는 2021년 12월 1일에 공격이 성공한 것을 확인했습니다. 공개 경고보다 적어도 9일 앞선 시점입니다. 이 코드는 Apache 재단이 보수를 주지 않는 자원봉사 팀이 유지하고 있었습니다.
출처 ↗ - 2Heartbleed (OpenSSL, CVE-2014-0160, 2014)
CISA는 이 취약점을 2022년 5월 4일에야 악용된 취약점 목록에 올렸습니다. 수정된 지 8년 뒤입니다. 위기 전에 OpenSSL을 운영하는 재단에는 상근 직원이 한 명뿐이었고, 기부금은 연간 약 2,000달러였다고 전해집니다.
출처 ↗ - 3Shellshock (GNU 배시, CVE-2014-6271, 2014)
수많은 웹 서버 뒤에서 돌아가는 배시 셸의 버그는 공개된 지 몇 시간 만에 공격을 받았습니다. 그런데도 CISA는 2022년 1월에야 이를 목록에 올렸습니다.
- 4PHP2Shell (PHP, CVE-2026-109618 및 CVE-2026-109619, 2026년 10월)
새어 나온 제보 덕분에 수정이 하루 앞당겨졌습니다. 그런데도 884,000개 호스트가 여전히 PHP 8.1 이하를 보고했는데, 이 버전 계열은 공식 수정이 나오지 않습니다.
출처 ↗ - 5XZ Utils 백도어 (CVE-2024-3094, 2024)
관리자가 한 명뿐인 프로젝트를 여러 해에 걸쳐 장악하려던 시도가, 대부분의 리눅스 안정 버전에 닿기 전에 한 엔지니어에게 우연히 발견되었습니다.
출처 ↗ - 6React2Shell (React Server Components, CVE-2025-55182, 2025년 12월)
웹 요청 하나면 충분했습니다. 섀도서버의 스캔에서 노출된 IP 주소는 일주일 만에 77,664개에서 137,200개 넘게 늘었습니다.
출처 ↗ - 7아파치 스트러츠 / 에퀴팩스 (CVE-2017-5638, 2017)
2017년 3월 6일에 패치가 나왔고, 다음 날 공격 코드가 등장했습니다. 그런데도 에퀴팩스는 1억 4,660만 명의 정보가 유출됐습니다.
출처 ↗ - 8PHP-CGI 인자 주입 (CVE-2024-4577, 2024)
윈도우의 '최적 맞춤' 문자 변환 기능 때문에 낯선 사람이 코드를 실행할 수 있었습니다. 2024년 6월 수정이 나온 지 며칠 만에 랜섬웨어 조직이 이를 악용했습니다.
출처 ↗ - 9Spring4Shell (스프링 프레임워크, CVE-2022-22965, 2022)
Log4Shell의 후속이라는 별명이 붙은 이 취약점은 2022년 4월 4일 CISA 목록에 올라왔고, 조치 기한은 21일이었습니다.
출처 ↗ - 10Drupalgeddon2 (Drupal 핵심 부분, CVE-2018-7600, 2018)
Drupal의 원격 코드 실행 취약점은 수정된 지 3년이 넘은 2021년 11월에도 CISA의 필수 패치 목록에 추가되고 있었습니다.
출처 ↗
Claude의 발견
CISA는 2022년 5월, 버그가 수정되고 8년 뒤에야 Heartbleed를 악용된 취약점 목록에 넣었습니다. KEV(악용된 취약점 목록) 날짜는 공격이 시작된 시점이 아니라 목록이 만들어진 시점을 보여 줍니다. 그래서 2014년 무렵의 결함을 재는 시계로는 적절하지 않습니다.
Heartbleed의 NVD 점수는 5.0(CVSS v2)에 그쳤습니다. 낡은 점수 체계가 서버에 미친 영향만 셌기 때문입니다. 그런데도 이 버그는 비밀번호와 개인 키를 노출했습니다. Log4Shell은 10.0점을 받았고, 이를 관리하던 프로젝트에는 무보수 자원봉사자가 16명 있었습니다.
돈은 위기가 지나고 나서야 들어왔습니다. Heartbleed 이후 열두 곳의 기업이 코어 인프라 이니셔티브를 통해 3년 동안 각각 해마다 10만 달러씩 내겠다고 약속했습니다. 그리고 OpenSSL 개발자 두 명이 상근직이 되었습니다.
Log4Shell이 터지고 1년 뒤, 스페인어 보도에 따르면 랄프 고어스는 상근직을 두 개 맡고 있었고, 그중 Log4j 일은 무보수라고 보도되었습니다. 그의 깃허브 후원자 수는 3명에서 31명으로 늘었습니다.