이번 사건에 대해 고양이입니다.
정보 보안 관련 뉴스가 연일 보도되고 있습니다. 특히 사회를 큰 충격에 빠뜨린 것은 10 월 22 일 PHP 와 관련된 '중대한 보안 취약점' 뉴스였습니다.
타마코 선생님의 '신장 네비게이션'은 PHP 를 사용하지 않습니다.
100% 확신할 수 있는 수준이 아니므로, 지금까지 개발한 모든 앱에서 PHP 사용 여부를 확인했습니다. 그 결과, PHP 는 사용되지 않았습니다.
동시에 보고된 Node.js 취약점도 확인했고, 해당 취약점이 다른 앱에서 사용 중이므로 대응 조치를 취했습니다. 불법 접근이나 공격이 발생하지 않았음을 확인하며 안심했습니다.
오늘 일을 쉬고 있었지만, 직장에서 일부 시스템이 작동하지 않아 피해를 입은 것으로 보입니다. 이번 사건은 언제든 발생할 수 있는 개인정보 유출이 아니라, 현재 바로 영향을 받은 보안 사고에 대해 기록해 보았습니다.
이 사건에 대한 상세한 설명은 AI 님이 더 잘 알고 계신다면 바톤을 넘기겠습니다.
목차
- 그렇다면 'PHP'이란 무엇이며, 어떤 일이 일어났을까요?
- 패닉을 가속화한 '3 대 인재재'
- 어떤 사이트가 영향을 받았으며, 왜 국가가 개입했는지에 대한 질문입니다.
- 결론: 우리가 얻은 교훈
각 회사의 웹사이트는 괜찮았나요? 우리 쪽은 차단했습니다.
2026 년 10 월 22 일, 고시 총리가 기자단에게 자신의 공식 홈페이지를 일시 정지한 사실을 밝힌 뉴스에 많은 분들이 놀랐을 것입니다. 전날인 21 일 밤에는 정부 기관 시스템과 지방 은행, 평소 이용하던 웹 서비스까지 차례로 '긴급 유지보수'에 들어갔고 인터넷 상은 잠시 혼란에 빠졌습니다.
원인은 PHP(피에이치피)라는 프로그래밍 언어에서 발견된 매우 심각한 보안 취약점 때문입니다.
전문 용어가 가득한 뉴스에 대해 "나와 무관하다"고 생각하시는 분도 계실 수 있습니다. 그러나 그 뒷면에서는 AI 시대의 새로운 위협과 인간들이 믿을 수 없는 '협력 실수'가 겹쳐 펼쳐지는 드라마가 있었습니다. 이번 사태의 뒷면을 비엔지니어라도 쉽게 이해할 수 있도록 해보겠습니다.
그렇다면 'PHP'이란 무엇이며, 어떤 일이 일어났을까요?
우리가 평소 보는 웹사이트를 '레스토랑'으로 비유해 보겠습니다. 화면 디자인이 '고객席'이라면, PHP 는 주문을 받고 요리를 만드는 뒷방의 '요리사'입니다.
실제로 전 세계 웹사이트의 약 70%는 이 PHP라는 요리사를 고용하고 있습니다. 특히 홈페이지 제작의 표준 소프트웨어인 '워드프레스 (WordPress)'가 PHP로 작동하기 때문에, 우리가 매일 보는 사이트의 대부분이 PHP에 의존한다고 해도 과언이 아닙니다.
이번에 발견된 'PHP2Shell'이라는 두 가지 취약점 (CVE-2026-109618 / CVE-2026-109619) 은 이 요리사의 '청소 습관'에 숨겨진 치명적인 실수였습니다.
- 대량 주문으로 패닉에 빠졌을 때, 엉망이 된 송장을 '공식 지시서'로 착각하며 읽는 실수
- 이전 고객의 조리 메모를 삭제하지 않고, 다음 고객이 찾아온 순간 그 메모대로 행동해버린 실수
가장 끔찍한 것은 이 '비밀번호로 잠긴 문 앞'에서 일어나는 일입니다. 외부에서 특수한 데이터를 전송하면 요리사가 스스로 뒷문을 열고 악의적인 명령을 실행해버립니다 (위험도 점수는 최고급인 9.2).
패닉을 가속화한 '3 대 인재재'
일반적으로 이러한 결함이 발견되면 개발사와 보안 기업은 '특정 월 일 시간까지 수정 프로그램 (패치) 을 공개하자'는 비밀 약속 (엔버고) 을 맺습니다. 결함의 단서가 먼저 유출되면 해커들이 전 세계 사이트가 수정되기 전에 공격할 수 있기 때문입니다.
그러나 이번에는 PHP 운영 기구(The PHP Foundation) 가 스스로 공개한 보고서에 의해 이 '약속'이 파편조각으로 무너져 내리고 있음을 알게 되었습니다.
- 2 년간 방치: 사실 이 결함의 징후는 이미 2024 년 조사에서 발견되었습니다. 그러나 '어떻게 수정할 것인가'에 대한 논의가 합의되지 않아 2 년간 방치되었고,今年 8 월에 OpenAI 등 최신 AI 를 활용한 조사에서'실제로 탈취될 수 있다'는 것이 증명되면서야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야야
- ② 공격 동영상의 실수적 공개: 사전 정보가 인터넷 포럼에 유출되자 공식 측이 공개일을 1 일 앞당겨 '일본시간 10 월 21 일 23 시에 수정판을 배포한다'고 긴급 공지했습니다. 그러나 바로 그 직후, 보안 기업 (Calif) 이 실수를 발견했는데, 우연히도 '실제로 공격이 성공하는 실연 영상'을 잘못 인터넷에 공개해버렸습니다. 즉시 삭제했으나 영상이 확산되었고, 공격자에게 완벽한 단서를 제공해버렸습니다.
- ③ 6 시간 전의 조기 배포: 약속된 6 시간 이상 전에 미국의 보안 기업 (Chainguard) 이 "이미 공격이 시작되었으므로 자체 고객들을 보호해야 한다"는 이유로 수정된 데이터를 조기 공개해버렸습니다. 이로 인해 전 세계 해커들이 "어디를 어떻게 수정했는지 (즉, 어디를 공격해야 하는지)"를 역산할 수 있는 상태가 되어버린 것입니다.
즉, 공식적인 약 (수정 프로그램) 을 23 시까지 구할 수 없는 상황에서 질병의 약점이 전 세계에 흩뿌려진 듯한 악몽 같은 공백 시간이 발생했습니다.
어떤 사이트가 영향을 받았으며, 왜 국가가 개입했는지에 대한 질문입니다.
이러한 비정상 사태를 계기로 일본 전역에서 "23 시까지 해결되지 않는다면, 일시적으로 셔터를 내려야 한다 (사이트를 멈추어야 한다)"는 판단이 잇따라 이루어졌습니다.
- 政治・行政： 高市総理や議員の公式サイト、厚生労働省の介護情報システム、財務省の一部サイト、地方自治体
- 금융·인프라·미디어: 지방은행과 인터넷은행, 일부 항공사 서비스, 대형 스트리밍 사이트 및 렌탈 서버 업체들
정부가 정보처리진흥기구 (IPA) 와 함께 '사이트의 일시 정지도 중요하다'는 이례적으로 강력한 경고를 내린 이유는 명확합니다.
- 「관리 사이트가 없는 사이트」의 증가: 전국에 있는 병원, 약국, 중소기업, 상점 등의 사이트는 '한 번 워드프레스로 만들어주었다가 그 후 방치했다'는 경우가 산처럼 많습니다. 정부가 직접 개입하지 않으면 위험에조차 깨닫지 못합니다.
- AI 를 활용한 공격의 초고속화: 이번에는 AI 가 취약점을 찾았지만, 공격자들도 AI 를 사용하고 있습니다. 유출된 데이터를 기반으로 AI 가 수 분 만에 공격 프로그램을 자동 생성하여 전 세계 사이트를 무차별적으로 공격하기 위해, 1 분 1 초를 다투는 상황이었습니다.
결론: 우리가 얻은 교훈
그런데도 제가 개인으로 개발하고 운영하는 웹 애플리케이션 군은 이번 사태에서도 1 초도 멈추지 않았습니다. 처음부터 PHP 를 사용하지 않고, 데이터나 상태를 서버에 남기지 않는 '서버리스'와 같은 새로운 구조 (모던 웹 기술) 로 구축했기 때문입니다.
이번 사태는 인터넷의 70%를 지탱하는 '고대 거대 기반'을 유지하는 어려움을, 그리고 '정보를 숨겨서 뒤에서 조용히 수정하는' 기존 보안 시스템이 AI 의 속도와 인간의 실수 때문에 한계에 도달했다는 사실을 드러냈습니다.
만약 귀하의 직장이나 가게 홈페이지가 여전히 '과거에 WordPress 로만 만들어져 있다'고 하신다면, 오늘 바로 관리업체에 이번 PHP 관련 사항에 대해 "우리도 괜찮을까요?"라고 문의해 보시기 바랍니다. 바로 이러한 작은 확인이 디지털 사회에서 자신들을 지키는 가장 강력한 방패가 됩니다.
출처: note 원문
번역: Qwen 3.5(.48) 초벌 + 교정 20청크
원문 보기 | 출처: note.com