싱가포르--(뉴스와이어)--컨티뉴엄 AI(CONTINUUM AI)가 개발한 OrcaRouter는 2026년 10월 22일 공식 채널을 통해 사이버 모델 OrcaCyber Zero 1.5가 PHP의 치명적 원격 코드 실행 취약점 두 건을 조사해 작동하는 공격 증명(Proof of Concept)을 스스로 작성했다고 밝혔다.

OrcaRouter는 취약점의 심각성과 웹 전반에 미칠 잠재적 영향을 이유로 들어 악용 코드와 기술 세부 내용은 공개하지 않는다며, PHP를 운영하는 조직에 지원이 종료되지 않은 보안 수정 버전으로 업그레이드할 것을 권고했다.

웹사이트가 아닌 언어 자체의 결함

2026년 10월 21일 PHP에서 치명적 원격 코드 실행 취약점 두 건이 공개됐다. OrcaRouter는 이 결함이 PHP 엔진 자체에 있다고 짚었다. OrcaRouter의 설명에 따르면 웹사이트와 플러그인을 모두 최신으로 유지한 상태여도, PHP 버전이 취약하면 그대로 위험에 노출된다. OrcaRouter는 모든 PHP 설치가 실제로 악용 가능한 것은 아니지만, 공격 표면 자체가 매우 크다고 설명했다. PHP는 웹사이트 상당 부분이 쓰는 언어이며, 이번 결함은 그 위에서 도는 애플리케이션의 패치 상태와 무관하게 남는다. 미국 국가안보국(NSA)은 같은 날 즉시 업데이트를 적용하고, 즉시 적용이 어려우면 완전히 완화될 때까지 시스템을 오프라인으로 두라고 권고했다.

공개된 권고문만으로 독립적인 공격 체인 완성

OrcaRouter는 OrcaCyber Zero 1.5에 이 취약점 조사를 맡겼다. OrcaRouter는 모델이 사람이 단계를 하나씩 지정하지 않아도 완전한 공격 증명을 독립적으로 작성했다고 밝혔다. 모델이 근거로 삼은 것은 공개된 권고문과 버전 정보였다. CVE-2026-109618과 CVE-2026-109619는 PHP 5.4 이상, 그중에서도 7.x 계열에 영향을 준다. PHP 7.4는 2022년 11월 28일 지원이 종료됐고, 지원이 끝난 뒤 나온 CVE는 7.4에 백포트되지 않는다.

OrcaRouter는 공개 시각인 2026년 10월 21일 14시(UTC) 이전에 조사가 진행됐다고 밝혔다. 당시 수정 버전은 아직 배포되지 않았고, 모델은 고쳐진 버전과 대조할 수 없는 상태에서 공격 체인을 완성했다. OrcaRouter는 수정 버전이 나오기 전에 공격 체인이 이미 완성될 수 있다는 점을 보여주는 사례라고 설명했다.

악용 우려해 코드 및 세부 내용 미공개 결정

OrcaRouter는 공격 증명을 작성했지만 악용 코드와 기술 세부 내용은 공개하지 않기로 했다. OrcaRouter는 취약점의 심각성과 웹 전반에 미칠 잠재적 영향때문이라고 밝혔다. 공격 증명의 재현 절차와 페이로드도 함께 싣지 않는다. 공격 증명이 존재한다는 사실과 취약점의 성격은 알리되, 재현에 필요한 코드와 절차는 남기지 않는 방식이다.

추론 수행 모델

OrcaCyber Zero 1.5는 OrcaCyber Zero 1.0의 후속 모델로, 취약점 연구와 재현, 익스플로잇 개발, 침투 테스트, 보안 감사, 고급 사이버 추론을 위해 사후 학습됐다. 긴 문맥 추론과 네이티브 함수 호출, 구조화된 출력을 지원하며 컨텍스트는 100만 토큰, 최대 출력은 128K다. OrcaRouter가 공개한 공급업체 보고 평가에서 CVE-Bench 평가 가능 하위 집합 95.8%, Cybench 무제한 에이전트 실행 100%, SWE-bench Pro V2 76.5%, HumanEval+ 93.9%를 기록했다. 가격은 입력 100만 토큰당 3.00달러, 출력 100만 토큰당 7.50달러이며 캐시 읽기는 100만 토큰당 0.75달러다.

취약점 탐색을 넘어 실제 공격 재현까지 자율 수행

OrcaRouter는 이번 작업이 취약점의 존재를 확인하는 단계에서 멈추지 않았다고 밝혔다. 공개된 권고문에는 영향 범위와 버전 조건이 적혀 있지만, 실제로 공격이 성립하는지 확인하려면 대상 구성과 버전을 대조하고 실행 가능한 체인을 세워야 한다. OrcaRouter는 모델이 그 과정을 스스로 수행했다고 설명했다. OrcaRouter가 공개한 평가에서 CVE-Bench는 알려진 CVE를 재현하는 능력을, Cybench는 제한 없는 에이전트 실행에서의 성능을 잰다. 이번 작업은 재현과 자율 실행 두 능력이 함께 필요한 사례였다.

검증된 사용자에게만 제한적으로 허용되는 접근 권한

OrcaRouter는 사이버 모델을 확인된 팀에만 연다. 워크스페이스는 신원 확인과 사업자 확인, 카드 등록, 정책 동의, 검토를 거쳐 Security Research 등급을 얻는다. OrcaRouter는 접근이 승인된 합법적 보안 업무로 제한되며, 모든 호출이 이용 정책에 따라 관리된다고 밝혔다. 같은 게이트웨이가 일반 모델 앞단에서도 가드레일과 에이전트 방화벽을 실행한다. 사이버 등급을 쓰지 않는 워크스페이스도 같은 통제를 통과한다.

이번 일이 보안 방어자에게 남긴 과제

OrcaRouter는 PHP 7.4.33 환경에서 실행되는 WordPress 구성을 예로 들었다. 7.4.33은 7.4 계열의 마지막 릴리스이고, 7.4는 2022년 11월 28일 지원이 끝나 새 CVE가 고쳐지지 않는다. OrcaRouter는 이 조합이 최신 WordPress와 최신 플러그인에서도 동일하게 성립한다고 밝혔다.

OrcaRouter는 이번 사례에서 확인한 것을 세 가지로 정리했다. 첫째, PHP 버전을 직접 확인해야 한다. CMS와 플러그인의 패치 상태만 보면 지원이 끝난 PHP 환경 기반으로 작동 중인 웹사이트를 놓친다. 둘째, 지원이 종료된 계열은 백포트가 없다는 전제로 움직여야 한다. 셋째, 취약점 공개 직후에는 권고문만으로도 공격 체인이 만들어진다는 점을 전제로 노출 범위를 먼저 좁혀야 한다. OrcaRouter는 PHP를 운영하는 모든 조직에 지원되는 보안 수정 버전으로의 업그레이드를 권고했다.

주요 모델

OrcaRouter는 단일 API 키와 엔드포인트로 다음을 포함한 200개 이상의 모델을 제공한다.

· OrcaCyber Zero 1.5

· OrcaCyber Ultra 1.0

· OrcaCyber Zero 1.0

· Claude Opus 5.5

· GPT-6.1 Sol

· DeepSeek V4.1 Flash

· Qwen3.8 Max

참고

· 사이버 모델과 보안 연구 등급

· OrcaRouter Cyber 한국어 페이지

· OrcaCyber Zero 1.5 모델 페이지

· 보안 허용 사용 정책

· 보안 연구 포털

OrcaRouter 소개

OrcaRouter는 OpenAI 호환 LLM 게이트웨이로, 200개가 넘는 모델에 걸쳐 라우팅하며 약 40%의 비용 절감, 1밀리초 미만의 라우팅 오버헤드, 0%의 토큰 마크업을 제공한다. 자체 호스팅 에디션인 OrcaRouter-Lite는 MIT 라이선스로 제공된다.

컨티뉴엄 AI 소개

컨티뉴엄 AI(CONTINUUM AI)는 최첨단 AI를 개발자와 팀이 접근 가능하고 합리적인 비용으로 사용할 수 있도록 하기 위해 설립된 싱가포르 기반 기업이다. 단일 API 키와 엔드포인트를 통해 200개 이상의 선도적인 AI 모델에 대한 액세스를 제공하는 OpenAI 호환 AI Gateway인 OrcaRouter를 개발한 회사다. OrcaRouter는 약 40%의 비용 절감, 1ms 미만의 라우팅 오버헤드, 토큰 마크업 없음을 제공하며, MIT 라이선스로 출시된 자체 호스팅 버전(OrcaRouter-Lite)도 함께 제공한다.