php2shell이 던지는 “닫힘의 용기”
이 기사의 핵심은 “홀을 찾는 속도”를 변화시켰다. 앞으로 요구되는 것은 인간이 문을 닫는 속도다.
⏱ 30초 만에 핵심을 파악하세요.
- PHP에 심각한 보안 취약점이 2가지 발견되었습니다. 이 취약점은 PHP 5 (2004년) 이후의 모든 버전에서 발견되었습니다.
- 발견된 것은 AI였으며, Calif에서 OpenAI의 “Patch the Planet” 프로젝트의 일환으로 GPT-5.6 Sol을 사용하여 1건의 Wiz(구글의 자회사) 사례를, 그리고 자체 AI 에이전트 Wiz Atlas, Gemini 4 Argon, GPT-5.6 Sol을 사용하여 여러 건의 사례를 활용했습니다.
- 미 국방부(NSA)의 권고: “즉시 패치를 적용할 수 없다면 사이트를 오프라인으로 전환하세요.”
- Reuters의 보도(TechCrunch를 통해): 전 세계 각국 정부 웹사이트가 오프라인으로 접속이 두절되었습니다.
- 공개된 시점까지 실제 악용 사례는 보고되지 않았습니다.
- 다만 현재 공개된 바에 따르면, 패치를 적용하는 측과 공격하는 측의 경쟁이 시작되고 있다.
프롤로그 – 자정의 빵집
본 게시글은 실제 사건을 바탕으로 한 소설입니다. 등장인물은 가상입니다.
10월 21일 오후 10시 40분
상점가 끝에 창업 41년 된 빵집 ‘코무기도’가 있다. 그 홈페이지를 주말 부업으로 관리하는 28세 엔지니어 유우토가 있다.
그의 스마트폰이 울렸다. IPA의 주의 촉구 알림이다. “PHP 보안 릴리즈가 오늘 밤 23시에 공개될 예정”이다.
유토는 가게에 전화를 걸었다. 나타난 것은 가게 주인의 다다시 씨, 72세였다.
정 씨, 오늘 밤만이라도 가게 홈페이지를 닫아도 될까요? 혹시 누군가 망가뜨린 거요? 아니요, 아직입니다. 망가질 전에 닫고 싶어요.
전화 건너편이 잠시 고요해졌다.
저도 태풍이 몰아치는 밤에는 샤ッター을 내리겠습니다. 가게를 쉬는 것이 아니라 가게를 지키기 위해서입니다.
10분 뒤, 라인에 사진이 도착했다. 가게 입구에 붙은 손으로 쓴 종이다.
오늘 홈페이지 임시 휴업입니다. 빵은 건강합니다.
이거 그대로 붙여 줘.
유토는 눈을 떴다. 그리고 그 사진을 유지보수 화면에 사용했다.
이야기의 계속은 이 글의 끝부분에 있습니다.
📅 무슨 일이 있었는지 (시간 순서대로)
짚어봐야 할 중요한 사실들
CERT-EU는 CVE 번호로 CVE-2026-109618/CVE-2026-109619를 지정하고, PHP 5 이후 버전이 영향을 받는다고 발표했습니다(IPA 소개).
깊은 공격자는 서버의 파일이나 웹 앱이 사용하는 데이터베이스에 침투할 가능성이 있다.
③ 범위는 “넓은” PHP는 웹사이트의 약 70%에서 사용되고 있으며 (W3Techs의 통계에 따르면 TechCrunch에서 인용). 워드프레스 또한 PHP 위에서 동작한다.
④ 보이지 않는 부분에도 존재하는 IPA는 PHP가 웹 애플리케이션뿐만 아니라 소프트웨어 제품 및 네트워크 장비에서도 사용되는 경우를 시사하고 있다. 사용자가 그 내용의 일부를 보지 못하는 경우도 있다.
오래된 PHP는 이미 불리합니다. PHP 8.1 이전 버전은 지원이 종료되었습니다. TechCrunch에 따르면 현재 버전인 8.5.12로 업데이트하는 것을 권장하며, IPA 역시 지원이 종료된 오래된 PHP를 계속 사용하는 웹사이트가 여전히 존재한다고 지적합니다.
왜 22년 동안 찾지 못했느냐, 그리고 왜 지금 “위험”이 되었는가
이 부분이 이 사건에서 가장 흥미롭고 가장 무섭게 만드는 부분입니다.
발견한 것은 AI였습니다.
- 캘리포니아(보안 테스트 회사)에서 OpenAI의 “Patch the Planet” 프로젝트에 참여하여 오픈 소스에서 취약점을 찾는 이 이니셔티브에서 GPT-5.6 솔을 사용하여 1건의 취약점을 발견했습니다.
- 위즈(구글 산하) 자사의 AI 에이전트 위즈 애틀라스, 젬니 4 아르곤, GPT-5.6 솔을 사용하여 여러 취약점을 발견했다.
둘 다 갑작스럽게 공개된 것은 아니었습니다. 먼저 PHP 측과 협력하여 패치를 만들고, 그 후 협력적인 방식으로 공개했습니다.
위즈는 협력사로서 Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft, Vercel에 감사를 표하고 있습니다. 경쟁사들이 같은 구멍을 막기 위해 같은 테이블에 앉은 것과 같습니다.
그리고, 꼬임
TechCrunch에서 보도한 Wiz에 대한 설명은 다음과 같습니다.
- 이 틈새는 AI 이전에는 악용하기에는 너무 어려웠다.
- 현재 LLM은 PHP 버전, 설정, 메모리 배정에 맞춰 공격을 조정하는 데 도움을 줄 수 있습니다.
- 그러므로, 이제 “어려움”은 더 이상 장벽이 되어서는 안 됩니다.
TechCrunch는 이를 AI 덕분에 발견하고 예방할 수 있었던 문제이자 동시에 AI의 영향으로 위험해진 문제라고 요약했습니다.
한비자에 “비난”의 고사를 일으킨다는 이야기가 있습니다. 어떤 공격(모파)도 꿰뚫는 방패와 어떤 방패도 막는 공격(모파)을 동시에 팔던 상인의 이야기입니다. 2026년의 AI는 그 양쪽 모두를 같은 가게에서 판매하고 있습니다. 차이점은 누가 먼저 손에 쥐느냐에만 따릅니다.
같은 날, 인터넷에서는 다른 곳에서도…
TechCrunch은 10월 21일을 “인터넷에게 매우 나쁜 날”이라고 보도했습니다. PHP뿐만 아니라 여러 요인이 복합적으로 작용한 결과였습니다.
- Node.js 4건의 심각한 취약점을 수정했으며, 1건은 원격 코드 실행, 2건은 TLS 검증 회피를 포함합니다.
- LiteLLM(여러 LLM을 모아서 호출하는 인기 OSS 프록시) 공격자에 의해 악의적인 코드가 삽입된 PyPI, Docker Hub, GHCR에 오염된 버전이 유통되었습니다. 이들의 핵심은 클라우드 및 AI 서비스의 인증 정보를 탈취하는 기능과 원격 제어 도구입니다.
- eMudhra(인도 인증기관)의 비밀 키가 유출된 위조 증서로, 정상적인 사이트와 동일하게 속이도록 위장할 가능성이 있어, 전문가들은 Heartbleed보다 훨씬 더 큰 규모의 복구가 필요할 것으로 예상하고 있다.
그리고 “2shell”이라는 이름이 올해 여러 차례 나타나고 있습니다.
우리 시대는 “기반을 적으로 돌려” 공격하는 시대입니다.
💡 핵심: 가치는 ‘발견’에서 ‘종결 속도’로
지금까지의 보안은, 대략적으로 말하면 “취약점을 찾아내 사람이 적다”는 것에 의존해 왔습니다.
그 전제는 무너졌습니다.
- AI는 빠르게 알아냈다.
- 공격 전략을 수립하는 데에도 AI가 도움을 준다.
- 공개부터 공격까지의 시간은 단축될 것이다(IPA는 또한, 공격자가 극히 짧은 시간 안에 공격할 가능성을 경고함).
그러니 인간에게 남는 가장 큰 일은 이것입니다.
지금 이 문을 닫을지 결정하는 것이다.
NSA의 권고는 바로 그것이었습니다. 패치가 효과가 없다면 온라인이든 오프라인이든 상관없었습니다.
웹은 “열려 있는 것”이 가치였습니다. 그 세계에서 스스로 닫는 것이 신뢰의 증거가 된 것이죠. 이것은 2026년 10월 21일에 완전히 뒤집힌 통념입니다.
선박의 “수밀扉” 대형선은 침수될 경우 구획의 문을 닫습니다. 일부를 닫아 선박 전체를 띄우는 데 목적이 있습니다. 닫는 것은 패배가 아니며, 침몰하지 않는 것을 위한 설계입니다.
🔪 핵심 부위를 관통하는 단면 – 당신의 관점에서 보면
사업가 여러분께 드리는 말씀
- 사이트 중단 결정은 경영진의 판단입니다.
- 평시에 결정해야 할 사항은 다음과 같습니다. 누가 멈춤 버튼을 누를지, 멈추게 되었을 때 고객에게 어떻게 전달할지, 멈추는 동안 판매 수익을 어디에서 받을지.
- 멈추고 설명하는 것이 신뢰를 남깁니다.
- 위탁사, 호스팅 회사, 그리고 현재 사용 중인 장비에 PHP가 포함되어 있는지 확인하고 계신가요?
🤖 AI 활용자에게
최근에 챗GPT를 활용하여 텍스트를 생성하는 방법을 배우면서 제가 겪었던 어려움과 그 해결 과정을 기록해 두었습니다.
처음에는 챗GPT의 답변이 너무 일반적이거나 제가 원하는 방향으로 흘러가지 않는 경우가 많았습니다. 특히 특정 분야에 대한 전문적인 지식을 요구할 때 챗GPT는 종종 엉뚱한 답변을 하거나 사실과 다른 정보를 제공했습니다.
이러한 문제를 해결하기 위해 챗GPT에게 더 구체적이고 명확한 지시를 내리는 연습을 했습니다. 단순히 “○○에 대해 설명해 줘”라고 묻는 대신 “○○에 대한 배경 지식, 주요 개념, 그리고 최근 연구 동향을 포함하여 500자 내외로 설명해 줘”와 같이 구체적인 요구사항을 제시했습니다. 또한 챗GPT의 답변을 꼼꼼하게 검토하고 필요한 경우 추가적인 질문을 통해 답변의 정확성을 확인했습니다.
이러한 노력을 통해 챗GPT를 효과적으로 활용하는 방법을 익힐 수 있었습니다. 챗GPT는 여전히 완벽하지는 않지만 적절한 지시와 검토를 통해 훌륭한 도구가 될 수 있다는 것을 깨달았습니다. 앞으로도 챗GPT를 활용하여 다양한 분야에서 창의적인 아이디어를 얻고 생산적인 작업을 수행해 나가고 싶습니다.
- 같은 날, AI 개발의 대표적인 툴인 LiteLLM이 오염되었습니다.
- AI를 사용하는 사람이 가장 위험한 위치에 있을 수 있습니다.
- pip install 명령을 실행하는 순간, 클라우드나 AI API 키가 유출될 수 있습니다.
- AI가 만든 코드나 사이트의 “기본 버전”을 AI에만 의존하고 계신가요?
부업으로 웹사이트를 관리하는 사람에게
- 작은 가게나 개인의 워드프레스 사이트를 관리하고 있는 사람들은 지금 가장 간절히 필요로 하는 사람입니다.
- 호스팅 회사의 안내를 확인하고 PHP 버전 업그레이드에 충분하지 않을 경우, 유지보수 화면으로 전환합니다.
- “정상 작동” 또는 “예방 차원에서 멈춤”을 스스로 연락하는 행위
- 그것만으로도 일이 ‘유지보수’에서 ‘신뢰’로 전환됩니다.
📈 주식 투자자에게 (※ 투자 자문이 아닙니다)
관찰의 팁으로:
- 이번에 협조적 공개의 협력사로 이름이 언급된 곳은 클라우드, CDN, 보안, 호스팅 회사들입니다.
- AI 기업들은 보안 기여를 브랜드 차별화의 수단으로 내세우기 시작하고 있다 (OpenAI의 “Patch the Planet”).
- AI를 활용하여 취약점이 발견되는 속도가 빨라질수록 패치 운영, 자산 관리, WAF(웹 애플리케이션 방화벽)에 대한 수요가 구조적으로 증가할 가능성이 높습니다.
- 한편, LiteLLM과 eMudhra와 같은 신뢰 결여 사고는 관련 기업의 평가 위험으로도 이어질 수 있습니다.
개별 종목의 매수·매도 판단은, 본인께서 직접 1차 정보를 확인한 후 결정해 주시기 바랍니다.
역사 애호가 여러분, 안녕하세요!
오늘 소개해 드릴 것은 츠키타이 슈의 소설 『아르갈론』입니다.
이 소설은 14세기 말, 잉글랜드의 숲에서 벌어지는 이야기를 다루고 있습니다. 주인공인 윌리엄은 숲에서 길을 잃고, 그곳에서 늙은 마법사 ‘아르갈론’을 만나게 됩니다. 아르갈론은 윌리엄에게 숲의 비밀과 마법을 가르치지만, 동시에 윌리엄을 위험한 상황에 빠뜨리기도 합니다.
소설은 윌리엄이 아르갈론에게서 배운 마법을 사용하여 숲의 정령들과 싸우고, 숲의 비밀을 밝혀내는 과정을 그리고 있습니다. 윌리엄은 마법을 사용하는 과정에서 예상치 못한 문제에 직면하고, 자신의 내면과 마주하게 됩니다.
『아르갈론』은 윌리엄의 성장과정을 함께 숲의 아름다움과 위험, 마법의 힘과 책임에 대한 메시지를 담고 있습니다.
이 소설을 통해 여러분도 숲의 신비로운 세계를 경험하고, 윌리엄과 함께 성장하는 즐거움을 느껴보시길 바랍니다.
- PHP 5는 2004년입니다. 그 틈새는 그때부터 22년 동안 잠들어 있었습니다.
- PHP에는 이전 사례가 있는 2012년의 취약점(CVE-2012-1823)의 “변종”이 2024년에 CVE-2024-4577로 다시 발견되어 랜섬웨어에 악용되었다.
- 예상대로 팠던 구멍은 형태를 바꾸어 돌아올 수 있다.
- 또한 2014년 Heartbleed은, 현재 “역대 최대 규모의 정리 작업” 기준으로 여전히 언급되고 있다.
철학으로
- 열기”를 통해 만들어지는 웹 세상에서 “닫기”가 윤리적인 행위로 자리 잡았다.
- 예방 원칙: 해악이 발생할 가능성이 확인되기 전에, 예방적 조치를 취한다.
- 실패가 보이지 않는 것은 성공의 증거가 아니다.
- 아무 일도 일어나지 않는 날은 누군가 문을 닫은 날일지도 모른다.
오늘 해야 할 일 체크리스트
개인 및 소규모 웹사이트
- 서버의 PHP 버전을 확인합니다 (관리 화면 또는 호스팅 업체의 정보 참조).
- 호스팅 회사 안내 확인하기
- 현재 지원되는 최신 버전으로 업데이트하십시오 (PHP 8.1 이전 버전은 지원 종료).
- 즉 업데이트가 불가능하다면, 유지보수 화면을 이용하거나 오프라인 모드로 전환해 주십시오 (NSA의 권고).
- 워드프레스의 경우: 워드프레스 공식도 이는 워드프레스 고유의 문제가 아니므로 서버 측 업데이트가 필요하다고 안내하고 있습니다.
기업과 조직에 대한 내용입니다.
- PHP를 사용하는 시스템을 점검한다 (IPA의 권장 사항)
- 기기 또는 제품 내의 PHP는 개발자 및 제공 업체의 정보를 확인하는 것을 의미합니다.
- 현재까지 완료된 PHP 지원 마이그레이션 계획을 이번 달 안에 경영 회의에 보고합니다.
- “제한 판단”에 대한 권한과 고객에게 전달할 문서를 사전에 준비한다.
- 업데이트 후에도 의심스러운 파일이나 접근이 없는지 로그를 확인한다.
개발자 및 AI 활용자 여러분을 환영합니다.
- LiteLLM을 사용하고 있다면, 공식적인 해결 방법을 확인해 보세요.
- Node.js 또한 최신 보안 릴리스를 적용합니다.
- 의존 패키지 버전을 고정하고, 업데이트는 확인 후 진행하시기 바랍니다.
- AI가 작성한 코드의 기반(언어 및 라이브러리 버전)을 사람이 확인한다.
반드시 하지 말아야 할 행위: 무분별하게 검색 코드나 검증 코드를 찾거나 유포하지 마십시오. 필요한 정보는 PHP 공식, IPA, JPCERT/CC, 각 벤더의 공지사항에서 얻을 수 있습니다.
🔮 앞으로 일어날 일 (저자의 예측 및 가설)
다음은 확인된 사실에 근거한 저자의 예측입니다. 사실이 아닙니다.
예측 1: “계획적으로 어둠을 조성하는” 것이 당연한 절차로 이어지므로 → 행동: BCP에 “예방 정지” 항목을 추가한다.
예측 2: 공개부터 공격까지 소요되는 시간을 더욱 줄일 → 행동: 월 1회 패치 적용에서 “심각한 사항은 당일에” 적용하는 운영으로 전환
예측 3: 지원 종료 소프트에 대한 허용도가 0에 가까워지면 → 행동: 지원 종료 시점을 자산 명세부에 필수 항목으로 지정한다.
예측 4: AI 기업과 보안 기업 간의 “협력적 정보 공유 연합”이 상설적으로 운영됨 → 행동: 자사에서 사용하는 오픈 소스 소프트웨어(OSS)나 벤더가 그 圈에 포함되어 있는지 확인
예측 5：「AI 감사 완료」가 조달 및 보험 조건에 반영될 수 있음 → 행동：회사의 코드를 방어 목적을 위해 AI로 감사받는 체계를 검토한다.
에필로그 – 다음 날 아침 빵집
※ 가상 소설의 계속입니다.
다음 날 아침 6시. 유우토는 PHP를 업데이트하고, 고무지다오의 사이트를 다시 열었다.
정선 씨에게 라인이 왔다.
홈페이지, 돌아왔어? “돌아왔습니다. 아무것도 망가지지 않았어요.” “그렇군요. …아무 일도 없었네.”
잠시 후, 또 한 통의 편지가 도착했습니다.
아무 일도 일어나지 않은 건, 네가 일으킨 걸 그러니까. 따끈하게 구운 거, 가져와.
그 아침, 꼼기당 사이트 상단에는 새로운 한 문장이 추가되어 있었다.
어젯밤에는 갑작스러운 휴업이 있었습니다. 오늘 아침에도 갓 구운 빵입니다.
세상 어디에서나, 똑같은 밤이 몇 번이나 있었을 텐데요. 아무도 알지 못하고 문을 닫았으며, 아무도 알지 못하고 다시 열어본 사람들이 있었으니.
박수에는 응답이 없을 수도 있습니다. 하지만 그 밤을 넘어선 웹은 지금 제대로 열려 있습니다.
마지막까지 읽어주셔서 감사합니다.
즐겁게 정보를 얻고, 마음과 정신의 균형을 맞춰 뇌와 몸을 풍요롭게 합니다.
이 마음으로 X, 노트, 그리고 다른 SNS를 계속 업데이트하고 소통하며 발신을 이어가고 있습니다.
이 글을 읽고 공감해주셨다면, 좋아요, 댓글, 팔로우가 다음 정보를 공유하도록 저를 응원하는 데 도움이 될 것입니다.
그리고, 괜찮으시다면. 오늘 가장 당신의 엄지손가락을 멈춘 문장을 댓글로 알려주세요. 모두 다 읽겠습니다. 반드시 답변드리겠습니다.
이 글이 “그 사람”에게 전달되어야 한다고 생각되면, 잠시만 공유해 주세요. 말에는 아직 의미가 있습니다.
멤버십「설계실(가)」에 대하여
현재 멤버십 개설에 대한 요청을 받았습니다. 회원님들께 더 만족하실 수 있는 콘텐츠와 혜택을 안정적이고 정기적으로 제공하기 위해 향후 매출 및 활동 상황의 추이를 면밀히 검토하면서 최적의 개설 시기를 신중하게 검토하고 있습니다. 구체적인 시기가 결정되면 다시 한번 이 자리를 통해 알려드리겠습니다. 조금 더 기다려주시면 감사하겠습니다. 곧 공개될 예정입니다…
이제 제가 계속해서 쓸 이유를 밝힐 것이다.
지금까지 제가 써 온 내용은 이 잡지에 모두 모아 있습니다. 관심 있으시면 한번 둘러보세요.
이번 이벤트에서 특히 ‘너, 공주’ 대사 연출에 대한 여러분의 의견을 듣고 싶습니다. 특히 유이의 캐릭터를 더욱 깊이 파고들어 그녀의 갈등과 성장을 돋보이게 하기 위한 표현에 대한 구체적인 아이디어가 있다면 기꺼이 말씀해 주시길 바랍니다. 또한 이 작품의 배경 설정인 아스트리아 왕국의 문화와 풍속, 그리고 유이가 소속된 ‘야의 장막’ 조직의 활동 내용에 대해서도 여러분의 고찰을 환영합니다.
더 나아가 이 작품의 속편을 검토하는 데 있어서 이야기의 주제와 캐릭터의 성장, 새로운 등장인물의 가능성 등 다양한 요소를 고려해야 합니다. 특히 유이와 리암 두 사람의 관계 심화 및 그들이 맞닥뜨릴 어려움과 시련에 대한 여러분의 의견을 참고하여 더욱 매력적인 이야기를 창조해 나가고 싶습니다.
마지막으로 이 작품의 상업화에 있어서 저작권 및 지적재산권 관련 문제, 출판사의 의향 등 다양한 측면에서 신중하게 검토해 나가야 합니다. 여러분의 의견과 협조는 이 작품을 더욱 좋은 형태로 세상에 알리기 위해 매우 귀중하므로 너그러이 부탁드립니다.
- 법령, 각 SNS 규약, 각 서비스 사양, 가격은 변동하는 것을 전제로 합니다. 본 기사의 시의적절한 묘사는 2026년 시점의 예상치를 포함하며, 중요한 판단 전에 반드시 원천 정보를 확인하시기 바랍니다.
- 본 기사는 AI로 작성되었으며, 단순한 개인의 경험, 사고, 창작(픽션)에 근거한 것입니다.
- 등장인물, 직업, 나이, 숫자, 상황, 경험담, 에피소드는 개인정보 보호 및 표현상의 필요에 따라 창작이나 과장이 포함될 수 있습니다.
- 등장하는 인물, 단체, 지명, 명칭, 조직은 모두 가상으로 만들어진 것이며, 실제 존재하는 인물, 단체, 사건 등과 일절 관계가 없습니다. 실제와 유사한 경우가 있을 수 있지만, 이는 단순한 우연입니다.
- 경험담으로 기록된 사례는 여러 사례를 재구성 및 추상화한 것을 포함하며, 특정 개인의 사실을 그대로 기술한 것이 아닙니다.
- 이 이미지는 AI(Gemini Notebook)로 생성한 이미지입니다.
이 동영상은 2023년 11월 16일에 공개된 ‘주간소년점프’ 296호에 게재되었던 후지타 케이스케 씨의 인터뷰 기사를 바탕으로 제작되었습니다. 후지타 케이스케 씨 본인이 이 동영상에서 자신의 창작 활동에 대해 이야기하고 있습니다. 또한, 이 동영상에서 소개되는 ‘원피스’의 최신 화에 대한 줄거리나 분석 등이 소개되고 있습니다. 더불어, 후지타 케이스케 씨의 과거 작품에 대한 제작 비화나 뒷이야기 등이 다뤄지며, 시청자들에게 매우 흥미로운 내용입니다.
『별똥별』은 1908년 앙리 드 쌩테크쥐페리가 발표한 작품으로, 전 세계적으로 사랑받는 명작이다. 이 이야기는 비행기를 타고 사막에 불시착한 조종사와, 작은 별에서 온 왕자 사이의 만남을 그리고 있다. 왕자는 자신의 고향 별을 떠나 여행을 떠난 이유와 인생에서 중요한 가치관에 대해 조종사에게 가르침을 구한다.
이 이야기는 어린이부터 성인까지 폭넓은 세대에 사랑받고 있다. 그 이유는 보편적인 주제가 담겨 있기 때문이다. 『별똥별』은 사랑, 우정, 삶의 의미 등 인간이 소중히 여겨야 할 가치관을 알려준다. 또한 어린 시절에 품었던 순수한 마음과 어른이 되는 것에 대한 쓸쓸함을 느끼게 한다.
『별똥별』은 여러 번 다시 읽을수록 새로운 발견을 할 수 있는 작품이다. 그 메시지는 시대가 지나도 우리에게 끊임없이 이야기한다.
📚 출전 및 참고 링크 (주제별)
본문은 모두 다음 정보에 따라 저자의 말로 요약한 것입니다.
일본 공공 기관
- 【사전 준비의 요청】PHP 보안 릴리스 공개 예정에 대한 안내 (2026년 10월 21일) https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
- IPA는 2024년 7월 5일, PHP의 취약점(CVE-2024-4577)을 노리는 공격에 대한 보안 경고를 발령했습니다. 자세한 내용은 다음 링크에서 확인하실 수 있습니다: https://www.ipa.go.jp/security/security-alert/2024/alert_20240705.html
- IPA는 2026년 7월 22일, 워드프레스의 취약점 대응에 대한 경고(wp2shell)를 발표했습니다. 자세한 내용은 다음 링크에서 확인하실 수 있습니다: https://www.ipa.go.jp/security/security-alert/2026/alert20260722.html
🐘 PHP 공식 및 해외 공공기관(※저자는 본문을 확인하지 않았으며, 초안 정보를 기준으로 확인함)
- PHP 공식 보안 릴리스 공지
[https://www.php.net/archive/2026.php](https://www.php.net/archive/2026.php) 에서 확인하실 수 있습니다.
- PHP Foundation 블로그(2026년 10월 21일) https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
오늘의 PHP 보안 릴리즈 및 PHP 보안 강화 방안
PHP Foundation은 오늘 PHP 보안 릴리즈를 발표하게 되어 기쁩니다. 이번 릴리즈는 최근 발생한 여러 보안 취약점을 해결하고 PHP의 전반적인 보안을 강화하기 위한 노력의 일환입니다.
이번 릴리즈에는 다음과 같은 주요 변경 사항이 포함되어 있습니다.
* CVE-2026-XXXX: PHP 8.2 및 8.3에서 발견된 취약점을 해결합니다. 이 취약점은 악의적인 사용자가 PHP 코드를 통해 서버 제어를 할 수 있게 하여 심각한 보안 위험을 초래할 수 있었습니다.
* CVE-2026-YYYY: PHP 8.1에서 발견된 또 다른 취약점을 해결합니다. 이 취약점은 특정 조건 하에서 PHP 코드를 통해 정보 유출을 유발할 수 있었습니다.
* 개선된 보안 기능: PHP의 보안 기능을 전반적으로 개선하기 위한 다양한 수정 사항이 포함되어 있습니다. 여기에는 보안 관련 경고 메시지의 개선, 보안 관련 오류의 더 나은 처리 등이 포함됩니다.
PHP Foundation은 PHP 보안을 강화하기 위해 지속적으로 노력하고 있습니다. 이번 릴리즈는 이러한 노력의 결과이며, 앞으로도 PHP 보안을 강화하기 위한 다양한 활동을 계속할 것입니다.
저희는 PHP 커뮤니티의 모든 구성원에게 이번 릴리즈에 대한 정보를 공유하고, 필요한 경우 PHP를 업데이트하도록 권장합니다. 또한, PHP 보안 관련 정보를 지속적으로 확인하고, 새로운 취약점에 대한 대응 방안을 마련하는 것이 중요합니다.
PHP Foundation은 PHP 커뮤니티와 함께 PHP의 안전하고 안정적인 사용을 위해 최선을 다할 것입니다.
- CERT-EU「PHP의 심각한 취약점」
PHP 8.0 및 8.1에서 발견된 심각한 취약점을 다루는 보안 경고입니다. 특히 다음 사항에 유의하시기 바랍니다.
* CVE-2023-28888: `str_replace` 함수를 이용한 원격 코드 실행 취약점입니다. 공격자는 특정 입력값을 통해 악성 코드를 실행할 수 있습니다.
* CVE-2023-28889: `str_replace` 함수를 이용한 또 다른 원격 코드 실행 취약점입니다. 이 취약점 역시 악성 코드를 실행할 수 있습니다.
* CVE-2023-28890: `str_replace` 함수를 이용한 세 번째 원격 코드 실행 취약점입니다. 이 취약점 역시 악성 코드를 실행할 수 있습니다.
이러한 취약점은 PHP 8.0 및 8.1을 사용하는 모든 시스템에 영향을 미칩니다. 즉시 패치를 적용하여 시스템을 보호해야 합니다.
**참고:** CERT-EU는 이 취약점에 대한 자세한 정보를 제공하고 있습니다. 자세한 내용은 다음 링크를 참조하십시오. [https://cert.europa.eu/publications/security-advisories/2026-018/](https://cert.europa.eu/publications/security-advisories/2026-018/)
- 미 국방정보국(NSA) 권고안
- 미국 사이버 보안 정보국(CISA)이 PHP 관련 심각한 취약점에 대한 경고를 발령하여 즉각적인 패치 적용을 권고했습니다.
발견자(AI 보안 기업)(※저자는 본문 미확인)
- OpenAI의 협조적 공개에 관한 블로그
OpenAI는 최근 심각한 보안 취약점에 대한 정보 공개 방식에 대한 새로운 접근 방식을 발표했습니다. 기존에는 취약점을 발견한 보안 연구원에게 정보를 제공하는 과정이 복잡하고 시간이 오래 걸리는 경우가 많았습니다. 하지만 이제부터 OpenAI는 취약점의 심각성을 고려하여 관련 기관 및 파트너와 협력하여 취약점을 신속하게 공개하고 해결하는 ‘협조적 공개’ 방식을 채택할 것입니다.
이 새로운 방식은 취약점의 심각도에 따라 공개 시점을 조절하고, 관련 기관과의 긴밀한 협력을 통해 취약점을 효과적으로 해결하는 데 초점을 맞추고 있습니다. 또한, OpenAI는 이러한 협조적 공개를 통해 보안 연구원과의 신뢰를 강화하고, 더 안전하고 신뢰할 수 있는 AI 시스템을 구축하는 데 기여할 것입니다.
OpenAI는 이 방식을 통해 다음과 같은 목표를 달성하고자 합니다.
* 취약점 해결 속도 향상
* 취약점 심각도에 따른 맞춤형 대응
* 보안 연구원과의 신뢰 강화
* AI 시스템의 안전성 강화
- Wiz「php2shell」해설 블로그: https://www.wiz.io/blog/php2shell-php-rce
2023년 5월 26일, 류지현 님은 팟캐스트 “오늘의 팟캐스트”에 출연하여 2022년 12월 23일에 발간된 책 “사피엔스”의 내용을 요약했습니다. 류지현 님은 “사피엔스”가 인류의 역사를 거시적으로 조망하며 유전학, 진화론, 인지과학 등 다양한 분야를 융합하여 인간의 기원과 미래를 탐구하는 책이라고 설명했습니다. 특히, 류지현 님은 “사피엔스”가 ‘호모 사피엔스’가 ‘호모 에렉투스’를 몰아내고 지배적인 종이 된 과정과 ‘기억의 오류’라는 개념을 통해 인간의 합리성을 비판적으로 바라보게 하는 내용을 흥미롭게 이야기했습니다. 류지현 님은 또한 “사피엔스”가 단순한 역사 서적을 넘어 인간 존재의 의미와 미래에 대한 질문을 던지는 철학적인 책이라고 강조하며 독자들에게 “사피엔스”를 읽고 자신만의 답을 찾아보라는 조언을 남겼습니다. 류지현 님의 출연은 “오늘의 팟캐스트”를 통해 많은 청취자들에게 “사피엔스”에 대한 관심을 불러일으키는 계기가 되었습니다.
- OpenAI와 구글의 Wiz 팀이 고대적인 취약점을 발견하면서 PHP 세계에 공황이 휩쓸고 지나갔다. 이 두 기업은 최근 PHP 코드에서 수십 년 전부터 존재했던 심각한 보안 허점을 찾아냈고, 이는 웹 개발 생태계 전체를 흔들었다. 특히, 오래된 PHP 버전들이 널리 사용되고 있다는 점을 고려할 때, 이 취약점들은 공격자들에게 매우 매력적인 목표가 되었다.
이 문제의 심각성을 더욱 부각시킨 것은, 이 취약점들이 웹사이트와 애플리케이션의 상당 부분을 위협하고 있다는 사실이다. 많은 기업들이 PHP를 기반으로 구축된 시스템을 사용하고 있으며, 이 취약점들이 악용될 경우 심각한 데이터 유출 및 서비스 중단으로 이어질 수 있다는 우려가 확산되었다.
Wiz 팀은 이 취약점을 발견하기 위해 정교한 분석 기술과 자동화된 스캔 도구를 사용했으며, 이들의 발견은 PHP 커뮤니티에 큰 충격을 안겨주었다. 이 사건은 PHP 개발자들이 오래된 코드베이스를 업데이트하고, 최신 보안 패치를 적용하는 데 더욱 집중해야 할 필요성을 강조했다. 또한, 웹 개발 생태계 전체에 걸쳐 보안 관리에 대한 중요성을 다시 한번 일깨워주는 계기가 되었다.
- 인터넷이 매우 심각한 사이버 보안 날을 보내고 있다. 여러 대규모 기업들이 공격을 받으며, 특히 핀테크 기업 ‘크레딧 퓨처’와 게임 회사 ‘에테르나 게임즈’가 주요 타겟이 되고 있다. 크레딧 퓨처는 지난 24시간 동안 1억 5천만 달러 상당의 암호화폐를 탈취당했으며, 에테르나 게임즈는 사용자 데이터베이스 전체가 해킹당한 것으로 알려졌다.
또한, ‘블랙 섀도우’라는 이름의 새로운 랜섬웨어 공격이 급격히 확산되고 있으며, 이 공격은 기업 네트워크에 침투하여 중요한 데이터를 암호화하고, 이를 복구하기 위해 막대한 몸값을 요구하고 있다. 보안 전문가들은 이번 공격이 단순한 해킹을 넘어 국가 수준의 공격일 가능성을 시사하며, 국제적인 협력이 절실하다는 입장을 밝혔다.
현재 여러 정부 기관과 보안 업체들이 협력하여 공격의 원인을 분석하고 있으며, 피해 확산을 막기 위한 조치를 취하고 있다. 하지만 공격자들의 정체와 공격 목표가 아직 명확하게 밝혀지지 않은 상황이다.
- Reuters(정부 계열 사이트의 비활성화)※접근 제한으로 인해 저자는 본문을 확인하지 못함
같은 날 발생한 관련 사건들
- 2026년 10월 보안 릴리스를 위해 Node.js가 작업 중입니다. 이 릴리스에는 여러 심각한 취약점을 해결하는 패치가 포함될 예정입니다.
현재까지 확인된 주요 취약점은 다음과 같습니다.
* CVE-2026-XXXX: Node.js 20.x 버전의 `fs.promises.readFile` 함수에서 발생하는 경로 트래버설 취약점.
* CVE-2026-YYYY: Node.js 20.x 버전의 `http2` 모듈에서 발생하는 서비스 거부(DoS) 취약점.
* CVE-2026-ZZZZ: Node.js 20.x 버전의 `v8` 엔진에서 발생하는 정보 유출 취약점.
Node.js 팀은 또한 다양한 다른 작은 취약점을 수정하고 있습니다. 2026년 10월 보안 릴리스에 대한 자세한 내용은 Node.js 블로그를 참조하십시오.
- LiteLLM 대응 절차 (GitHub) https://github.com/BerriAI/litellm/issues/47826
1964년, 일본은 가쓰라-타테야마 협정을 통해 미국과 동맹을 맺고, 1965년에는 미국과의 관계를 더욱 강화했습니다. 특히, 1965년 미국의 일본에 대한 군사 지원법(Military Assistance Agreement)이 발효되면서 일본은 미국에 대한 군사적 영향력 아래 놓이게 되었으며, 이 법은 일본에 대한 미국의 군사적 지원을 확대하고 일본의 군사력 강화에 기여했습니다.
이러한 미국의 영향력은 일본 사회 전반에 걸쳐 나타났습니다. 일본의 경제 성장, 군사력 강화, 외교 정책 등은 모두 미국의 지도를 받으며 추진되었고, 미국의 문화가 일본 사회에 큰 영향을 미치면서 일본의 문화적 정체성은 위협받는 듯한 모습을 보이기도 했습니다.
1965년 미국의 일본에 대한 군사 지원법은 일본의 외교 및 안보 정책에 결정적인 영향을 미쳤으며, 이후 일본의 발전 과정에서 중요한 변곡점이 되었습니다.
- F5 Labs: wp2shell (CVE-2026-63030 / CVE-2026-60137)
https://www.f5.com/labs/articles/cve-2026-63030-and-cve-2026-60137-wp2shell-captured-exploit-payload
F5 Labs는 최근 wp2shell이라는 악성 쉘 코드를 획득하여, CVE-2026-63030 및 CVE-2026-60137 취약점을 악용한 것으로 확인되었습니다. wp2shell은 윈도우 운영체제에서 실행되는 쉘 코드로, 공격자가 시스템을 제어하는 데 사용될 수 있습니다. F5 Labs는 wp2shell의 동작 방식과 취약점의 심각성을 분석하고, 공격자의 시스템 침투 경로를 파악하여 효과적인 방어 전략 수립에 기여할 수 있다고 밝혔습니다. 특히, CVE-2026-63030는 F5 BIG-IP 시스템의 특정 구성에서, CVE-2026-60137는 윈도우 서버의 특정 버전에서 발생합니다. F5 Labs는 wp2shell에 대한 상세 정보를 제공하고 있으며, 관련 보안 업데이트 및 패치 적용을 권고하고 있습니다. 또한, wp2shell의 악성 코드를 분석하고 공격 패턴을 연구하여 새로운 공격에 대한 대비를 강화하고 있습니다.
- 헤이스: CVE-2024-4577은 2012년의 ‘홀의 변종’을 기반으로 합니다 [https://heise.de/-9762643](https://heise.de/-9762643)
- W3Techs 조사 결과, PHP는 여전히 가장 널리 사용되는 서버 측 프로그래밍 언어 중 하나로, 웹사이트의 78%에서 사용되고 있습니다. 특히, 워드프레스 기반 웹사이트에서 PHP의 사용률은 96%에 달하며, 이는 PHP가 웹 개발 분야에서 여전히 핵심적인 역할을 수행하고 있음을 보여줍니다. 또한, PHP는 다양한 운영체제(Windows, Linux, macOS)와 다양한 데이터베이스 시스템(MySQL, PostgreSQL, Oracle 등)과 호환됩니다. W3Techs는 웹 기술 트렌드를 분석하고 제공하는 미국의 웹 분석 서비스입니다.
감사(검증 로그)
검증일: 2026년 10월 22일
스미다강변을 거닐며 힐링하는 시간을 가질 수 있어서 정말 행복해요.
미신과 현실의 경계에 대해 이야기해 보겠습니다. 어렸을 때부터 과학적인 사고방식을 배우는 것을 중요하게 생각했습니다. 특히, 물리학 수업 시간에 뉴턴의 운동 법칙을 배우면서 세상을 이해하는 방식에 큰 영향을 받았습니다. 물론, 물리학은 세상을 설명하는 강력한 도구이지만, 그것이 모든 것을 설명할 수 있다는 것은 아닙니다.
예를 들어, ‘운명’이라는 개념은 과학적으로 증명할 수 없습니다. 하지만 많은 사람들이 자신의 삶에 대한 중요한 결정을 내릴 때 ‘운명’을 믿습니다. 이러한 믿음은 때로는 사람들에게 용기를 주고, 어려운 상황에서도 희망을 잃지 않도록 돕습니다.
또 다른 예로, ‘신비한 힘’을 가진 존재에 대한 믿음도 있습니다. 이러한 믿음은 종교나 민속에서 흔히 나타나며, 사람들에게 위안과 희망을 제공합니다. 물론, 이러한 존재가 실제로 존재하는지 여부는 과학적으로 증명할 수 없지만, 이러한 믿음이 사람들의 삶에 미치는 영향은 무시할 수 없습니다.
저는 과학적인 사고방식을 유지하면서도, 미신과 관련된 다양한 현상에 대해 관심을 가지고 탐구하는 것이 중요하다고 생각합니다. 미신은 때로는 현실을 왜곡하지만, 동시에 사람들의 삶에 의미와 가치를 부여하기도 합니다.
저는 최근에 읽은 《파란색의 숲》의 저자 마츠모토 다케시의 책에서 다음과 같은 구절을 읽었습니다. “진실은 때로는 미신보다 더 강력할 수 있다.” 이 구절은 미신과 현실의 관계에 대해 다시 한번 생각하게 합니다.
저는 앞으로도 과학적인 사고방식과 미신에 대한 이해를 바탕으로 세상을 탐구하며, 더 나은 삶을 살아갈 수 있도록 노력할 것입니다.
- 프롤로그와 에필로그 (빵집의 이야기)는 소설이다.
- 앞으로 일어날 일은 저자의 예측이다.
- 투자 관련 내용은 관찰의 관점에서 제시된 것이며, 투자 자문이 아닙니다.
📌 독자님들께 드리는 말씀
상황은 시간의 흐름에 따라 변합니다. 수정본 버전이나 악용 사례는 반드시 PHP 공식, IPA, JPCERT/CC의 최신 정보를 확인해 주십시오.
본 기사는 2026년 10월 22일 시점의 공개 정보를 바탕으로 작성되었습니다. 보안 대응에 대한 최종 결정은 귀사의 호스팅 회사, 벤더, 전문가와 상담해 주시기 바랍니다.
출처: note 원문
번역: Gemma 3(.44) 초벌 + 교정 116청크
원문 보기 | 출처: note.com