2026 년 10 월 21 일 오후부터 밤까지 BASE, Chatwork, 우마가ール, 트위캐스, 시즈오카 은행 홈페이지 등 국내의 많은 서비스가 잇따라 긴급 유지보수에 들어갔습니다. 이는 PHP 에서 발견된 2 건의 중대한 취약점이 원인이었습니다. 해외에서도 핀란드의 대학과 지자체, 영국의 국립문서관, 위키미디어를 운영하는 위키미디어재단 등이 서비스 일부가 중단되었습니다. 10 월 23 일 현재 대부분의 서비스가 재개되었으나, 여전히 중단된 서비스도 남아있습니다.
SNS 에는 정지된 서비스 목록이 여러 개 유포되었으나, 운영자가 정지 사유를 밝히지 않은 경우나 다른 사안과 관련된 유지보수, 혹은 실제로 정지되지 않은 서비스까지 혼재해 있었습니다. 본 글에서는 운영자가 공식적으로 발표한 내용을 하나씩 확인하여, PHP 를 사유로 제시한 서비스들을 분류하여 정리했습니다. 또한 수정 버전이 나올 전까지 많은 운영자가 서비스를 정지한 이유도 함께 정리했습니다. 서비스를 운영 중인 분들에게는 같은 판단을 내려야 할 때, 어디까지 정지하고 이용자에게 어떻게 알릴지 고민하는 데 도움이 될 만한 자료가 될 것입니다.
인증 없이 서버를 탈취할 수 있는 취약점이 2 개 발견되었습니다.
발견된 취약점은 CVE-2026-109618 과 CVE-2026-109619 의 두 가지입니다. 이 두 가지 모두 웹 요청 처리 시 PHP 메모리 관리와 관련된 결함입니다.
- CVE-2026-109618: 메모 부족으로 요청 처리가 중단될 때, 초기화가 완료되지 않은 메모리를 후속 정리 과정에서 올바른 데이터로 잘못 사용함
- CVE-2026-109619: 요청 처리가 완료되고 메모리가 해제된 후에도 해당 위치를 가리키는 정보가 남아있어, 같은 프로세스가 다음 요청을 처리할 때 이를 사용하게 됩니다.
로그인하지 않은 공격자가 HTTP 요청만 보낼 때 서버에서 임의의 프로그램을 실행할 수 있는 위험이 있습니다 (원격 코드 실행). PHP 개발 팀은 이 취약점의 심각도를 10 점 만점 중 9.2 점 (CVSS v4.0) 으로 평가했습니다. 영향을 받는 것은 웹 요청을 처리하는 모든 PHP 실행 환경으로, PHP-FPM, Apache 의 mod_php, php-cgi 등을 포함합니다. PHP 개발 팀은 특히 mod_php 의 경우, 애플리케이션 코드가 실행되기 전에 POST 된 데이터를 읽는 단계에서 공격이 성공할 수 있다고 설명했습니다.
PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 의 수정 버전은 일본 표준 시간 10 월 21 일 밤 11 시경에 공개되었습니다. 지원이 종료된 7.4, 8.0, 8.1 에 대해서도 예외적으로 소스 코드에 대한 최소한의 수정이 공개되었습니다. PHP 개발 팀은 즉시 업데이트가 불가능한 경우를 대비한 임시 방안도 공식 웹사이트에서 제시했지만, 임시 방안만으로는 완전한 대응이 되지 못한다는 점도 명시했습니다.
'php2shell'이라는 이름은 취약점을 발견한 연구자들이 WordPress 나 Drupal 을 이용해 공격을 시연하기 위해 작성한 스크립트의 이름입니다. 취약점을 발견한 연구자는 Calif, OpenAI, Wiz(구글 산하) 의 3 명이며, 이들은 각각 별도로 보고서를 제출했습니다. 세 연구자 모두 AI 를 활용해 조사했다고 공표했지만, 사용된 모델에 대한 설명은 서로 상이합니다.
W3Techs 의 집계 (10 월 21 일 기준) 에 따르면, 서버 측에서 사용되는 언어가 알려진 웹사이트 중 69.3% 가 PHP 를 사용하고 있습니다. 이렇게 많은 사이트가 영향을 받았기 때문에 전 세계적으로 서비스가 동시에 중단되는 사태가 발생했습니다.
개정판 출시 전부터 많은 운영자가 서비스를 중단한 이유
취약성 대응은 원칙적으로 수정판이 나오면 PHP 를 업데이트하면 해결되는 일입니다. 그럼에도 많은 운영자가 수정판을 기다리지 않고 서비스를 중단한 것은 수정판이 나올 전까지 취약성 정보가 외부로 유출되었기 때문입니다.
약점이 발견되면 발견자와 개발사는 수정 버전을 완성할 때까지 내용을 숨겨 둡니다. 개발사는 Linux 배포판 등 PHP 를 포함하여 배포하는 기업이나 단체 (이하 배포사) 에 수정 버전을 먼저 전달한 후, 미리 정해진 날짜와 시간에 관계자 전원이 동시 공개합니다. 이를 통해 사용자는 수정 버전을 공개된 직후에 업데이트할 수 있으며, 공격자가 수정 버전의 내용을 조사하여 공격 방법을 찾기 전에 업데이트를 완료할 수 있습니다. 이러한 방식을 '협업적 공개'라고 합니다. 이번에는 PHP 개발 팀이 일본 시간 10 월 22 일 23 시에 수정 버전을 공개할 예정이라고 준비를 진행 중이었습니다.
PHP Foundation 의 설명에 따르면, 공개 예정일 2 일 전까지는 이 준비가 예정대로 진행되었습니다. 공개 전 정보 유출 이후 수정판이 공개될 때까지의 흐름은 다음과 같습니다. 모든 시간은 일본 시간입니다.
- 10 월 21 일 0 시 경: 2 개의 CVE 번호가 인터넷 포럼과 SNS 에서 유포되기 시작했다. 함께 유포된 공개 날짜와 심각도 (10.0, 정확히는 9.2) 는 오류가 있었다. 취약점의 기술적 내용은 이 시점에는 유출되지 않았다.
- 4 시 30 분: PHP 개발 팀은 수정 버전 공개를 앞당겨 발표하고, 공개 시간을 1 일 앞당겨 21 일 밤 23 시로 조정했습니다. 즉시 공개하지 않은 이유는 배포처가 아직 수정 버전 패키지를 제작 중이며, 많은 사용자가 쉽게 업데이트할 수 없는 상태였기 때문입니다.
- 오시경경: 발견자 일회인 Calif 가 공격이 성공하는 모습을 담은 실연 동영상을 실수로 공개했습니다. Calif 는 동영상을 즉시 삭제했지만, 복제가 SNS 에서 퍼졌고, 이를 단서로 공격 코드를 제작하려는 사람들이 늘어났습니다.
- 8 시 경: PHP 개발 팀이 일부 주요 인프라 사업자에게 임시 대응책을 먼저 알렸다. PHP 파운데이션은 이 임시 대응책도 외부에 유출되었을 가능성이 있다고 밝혔다.
- 16 시 41 분: 배포원 중 하나인 Chainguard 가 약속된 시간보다 6 시간 이상 일찍 수정된 컨테이너 이미지를 단독으로 공개했습니다. 이를 통해 공격자 포함 모든 사람이 수정된 프로그램을 확보할 수 있게 되었고, 수정된 부분이 무엇인지 파악할 수 있게 되었습니다.
- 23 시경: PHP 개발팀이 수정 버전을 공개했습니다.
이러한 협력적 공개에 참여하지 않은 연구자들이 수정 버전 공개 전 반 일 정도 전에 취약점을 재현했다고 주장하며 X(트위터)에 구조 설명을 게시해 비판을 받았습니다. SNS에서는 이 연구자가 이번 혼란의 원흉이라고 하는 게시물이 확산되기도 했지만, CVE 번호가 공개되기 전부터 이미 해당 게시물이 존재했습니다. PHP Foundation 또한 정보 유출 경로를 설명하는 과정에서 이 게시점을 언급하지 않았습니다. 취약성 정보는 수정 버전 공개까지 여러 경로를 통해 조금씩 외부로 유출되었습니다.
협조적인 공개 과정에서 사전에 정보를 공유하는 기업이나 단체가 늘어날수록 정보 유출 가능성이 높아진다는 점을 고려해야 합니다. 이번에는 발견자가 3 개사에 달했으며, 수정 내용을 먼저 받아 배포한 출처도 많았으며, PHP 개발 팀은 중요한 인프라 운영 업체들에게도 임시 대응책을 알렸습니다.
또한 이번 취약성의 근본 원인은 2020 년 버그 보고나 2024 년 외부 감사에서 이미 일부 지적되었습니다. PHP Foundation 은 수정 작업이 수 개월 동안 중단되고 다시 시작되는 것을 반복했다는 점을 인정하고, 보안 팀의 의사결정 프로세스와 인력 부족으로 인한 '구조적 실패'였다고 설명했습니다.
수정판 공개를 기다리는 동안에도 서비스 중단 여부를 결정할 사유가 겹치며 여러 가지 일이 겹쳤습니다.
- 클라우드flare는 수정판 공개 전부터 고객 사이트가 표적이 된 공격의 통신을 감지했다고 공표했습니다.
- PHP 개발팀이 제시한 임시 조치로는 완전히 방어할 수 없으며, 8.1 이전의 구형 PHP 에는 공식 패치가 제공되지 않습니다.
각국 정부도 업데이트가 지연될 경우 서비스를 중단할 수 있는 선택지를 제시했습니다. 미국의 CISA 는 즉시 업데이트가 불가능한 조직이나 8.1 이전 버전을 계속 사용하는 조직에 대해 수정 버전을 적용할 때까지 시스템을 오프라인으로 격리하라고 요청했습니다. 영국 NCSC 와 유럽 ENISA 등도 공동 성명을 통해 오프라인 전환을 권고했습니다. 일본에서는 IPA 가 10 월 21 일 사전 준비를 촉구했고, 국가 사이버 총괄실도 X(트위터) 를 통해 일시적 중단도 리스크를 낮추는 방법 중 하나라고 밝혔습니다.
수정판 공개 후 JPCERT/CC 는 10 월 22 일 경보를 발령하여 침입 여부를 확인하기 위한 단서로 이상한 세션 ID, multipart 형식의 통신, 메모리 부족 오류, 프로세스의 비정상 종료 등을 제시했습니다. IPA 도 같은 날 대응을 촉구하는 정보를 게시했습니다. 다만, 10 월 23 일 현재 이 취약점이 실제 공격에 사용되었다고 공표한 기관은 없습니다. CISA 가 악용이 확인된 취약점을 정리한 목록 (KEV) 에도 이 두 건은 포함되지 않았습니다. 렌탈 서버인 로리ポップ! 와 헤테무르는 이 취약점을 표적으로 한 접근을 확인했다고 밝혔으나, 침입이 발생했다고는 하지 않았습니다. 중단된 서비스의 대부분은 피해가 발생했기 때문이 아니라 피해를 예방하기 위해 예방적으로 중단된 것입니다.
동기적으로 불법 접근을 공개한 기업도 있었습니다.
반면, 서비스 정지를 결정했던 PHP 대응 시기에는 악성 접근을 공표한 기업도 있었습니다. 두 곳 모두 원인이 PHP 취약점이라고 명시하지 않았습니다.
EC 사이트 운영 서비스 'futureshop'을 운영하는 'futureshop'은 10 월 23 일, 이용 중인 1 개의 회원 정보 3,147,469 건이 외부에 유출되었다고 공표했습니다. 유출된 정보는 성명, 주소, 생년월일, 전화번호, 이메일 주소, 해시화된 비밀번호 등이었으며, 신용카드 정보는 포함되지 않았습니다. 해당사에 따르면, 외부의 제 3 자가 10 월 17 일 밤 23 시경에 '서버에서 사용 중인 소프트웨어의 취약점'을 악용하여 침입하고, 다음 날인 18 일 회원 정보를 획득했습니다. 해당사는 19 일 이를 인지했습니다. 또한, 21 일 오전 10 시경에는 다른 4 대 서버에 대한 불법 접근도 발견했습니다. 해당사는 별도로 PHP 취약점 대응으로 21 일 오후 8 시부터 22 일 밤 11 시 35 분까지 모든 서비스를 중단했습니다.
GMO 인터넷은 10 월 20 일 데스크톱 클라우드에 악성 프로그램이 설치되어 있음을 확인하고, 21 일 오후 4 시부터 모든 플랜의 서버를 순차적으로 정지했습니다. 10 월 22 일 제 2 번 보도 자료 발표時点에서도 재개 여부는 아직 명확하지 않습니다. 이용자들이 데스크톱 클라우드에서 사용하던 거래 계좌에 불법 조작이 있었다는 신고를 접수했고, 이를 경찰에 보고하고 있습니다.
두 가지 침입 모두 PHP 의 CVE 번호가 인터넷에 공개되기 시작한 2023 년 10 월 21 일 0 시 이전에 발생했으며, 두 회사 모두 어떤 소프트웨어의 취약점이 이용되었는지 밝히지 않았습니다. 현재로서는 PHP 의 취약점과 관련이 있는지 알 수 없습니다. 다만 서비스를 중단하는 동안 다른 이유로 침입이 발견될 수도 있다는 점을 인지하고 있습니다.
공격이 발생했을 때 개인정보와 카드 정보는 어떻게 되는지
현재까지 PHP 의 취약점을 공격받아 피해를 입은 기업이 공식적으로 발표되지는 않았으나, 서비스 공격 시 이용자의 정보가 어떻게 변할 수 있는지 미리 알아두는 것이 좋다고 생각합니다.
이 취약점이 발각되면 공격자는 서버에서 임의의 프로그램을 실행할 수 있습니다. 따라서 사이트의 PHP 프로그램에서 접근 가능한 정보는 공격자도 접근할 수 있다고 가정해야 합니다. 예를 들어 다음과 같은 것들이 있습니다.
- 데이터베이스 연결 정보 및 저장된 회원의 성명, 주소, 전화번호, 이메일 주소, 구매 내역
- 해시화된 비밀번호 (원본 비밀번호를 복원하기는 어렵지만, 간단한 비밀번호일수록 복원되기 쉽습니다)
- 결제 대행이나 이메일 발송 등 외부 서비스를 연결하기 위한 API 키
한편, 신용카드 번호 자체는 EC 사이트 서버에는 대개 저장되지 않습니다. 일본에서는 2018 년 시행된 개정 채용 판매법으로 인해 EC 사이트는 신용카드 번호를 자체로 보관하지 않는 '비보관화' 등의 조치를 요구받고 있으며, 신용카드 번호는 결제 대행사의 시스템에서 처리하는 것이 일반적입니다. futureshop 의 데이터 유출 사건에 카드 정보가 포함되지 않았던 것도 카드 번호를 결제 대행사가 직접 처리하는 구조였기 때문입니다. 다만, 공격자가 구매 화면의 프로그램을 변조하면 이용자가 앞으로 입력할 카드 번호를 결제 대행사가 처리하기 전에 도용할 수 있습니다. 이를 웹 스키밍이라고 하며, 국내 EC 사이트에서도 과거에 피해가 발생했습니다.
은행 예금에 관해서는 이 취약점을 악용해 계좌에서 직접 돈을 인출될 가능성이 낮다고 생각합니다. 은행의 계정 시스템은 공개된 웹사이트와 별도로 운영되기 때문입니다. 이번에는 지부은행도 홈페이지와 앱을 중단하면서도 일부 로그인인 인터넷뱅킹 등은 사용 가능하도록 조치했습니다. 그럼에도 은행 홈페이지가 조작되어 가짜 로그인 화면으로 유도되거나, 이번 사태를 악용한 가짜 이메일이나 문자 메시지가 도착하면, 이를 통해 아이디와 비밀번호가 탈취될 우려가 있습니다.
또한 주의해야 할 점은 운영자가 수정 버전을 적용하더라도 그 자체로는 안심할 수 없다는 것입니다. 서버에 침입한 시점이 수정 버전 적용 이전이라면, 공격자가 다시 침투할 수 있는后门이 남아있을 가능성이 있습니다. 영국 NCSC 가 수정 버전 적용과 함께后门 유무를 확인하도록 요청한 것도 바로 이 때문입니다. 현재 피해가 보고되더라도 각 기업의 조사 진행에 따라 수일에서 수 주 후 정보 유출이 공개될 수 있습니다.
사용자의 입장에서 할 수 있는 일도 있습니다. '유지보수가 완료되었으므로 다시 로그인해 주세요'라는 메일이나 SMS 가 도착하면 링크를 클릭하지 말고, 공식 앱이나 북마크를 통해 접속하는 방법을 이용하세요. 잠시 동안 카드 사용 내역을 확인하고, 본인에게 알 수 없는 청구가 없는지 확인해 두면 안심할 수 있습니다. 나중에 해당 서비스가 정보 유출 사실을 공개하는 경우, 그 서비스의 비밀번호와 동일한 비밀번호를 재사용하고 있는 다른 서비스들의 비밀번호를 미리 변경해 두면 피해가 확산되는 것을 막을 수 있습니다.
목록을 구분하는 방법과 상황을 확인한 시간
목록에는 운영元の 통보 내용이 다음 세 가지로 나뉘어 있습니다.
- 운영 책임자가 공지에서 PHP 취약점 대응 사항을 명시하고 있습니다.
- 운영자가 중단 또는 유지보수를 알렸으나 PHP 를 명시하지 않은 경우입니다 (단순히 "취약점 대응"이라고만 적거나 이유를 밝히지 않은 경우).
- 보도 자료나 제 3 자의 게시물을 통해만 중단 여부를 확인할 수 있다.
종합 사이트나 SNS 목록은 운영사의 공지사항을 찾는 단서로만 활용하며 근거로 삼지 않았습니다. 확인한 내용은 각 회사의 공식 웹사이트 공지사항과 공식 X(트위터) 계정 게시글입니다. 확인 시점은 일본 시간 2026 년 10 월 23 일 오후 10 시 50 분부터 11 시 경이며, 이후 다시 시작된 서비스도 있을 것으로 추정합니다. 서비스 재개 여부는 공지 내용과 사이트가 표시되는지 여주로 판단했습니다. 게임 플레이나 로그인 후 기능은 테스트하지 않았습니다.
10 월 23 일 현재 대부분의 서비스가 재개되었습니다. 중단된 상태로 남아있는 서비스의 경우 해당 사실을 명시하고 있습니다. 아래 날짜가 명시되지 않은 시간은 10 월 21 일 중단, 10 월 22 일 재개입니다.
국내: 운영자가 PHP 호환성을 명시하고 있는 서비스 (A)
EC 결제
- BASE(베이스): BASE 의 각 서비스 및 PAY ID 앱. 원래 22 시 종료 예정이었으나, 15 시 50 분 조기 종료되었으며, 8 시 재개되었습니다 (고지).
- 컬러미샵 (GMO 페파보): 샵 표시 및 구매, 관리 화면 등. 22 시 정지되었으며, 7 시 20 분에 샵과 관리 화면이 복구되었고, 8 시 49 분에 모든 작업을 종료했습니다 (고지).
- 퓨처샵 (Futureshop) : 전 서비스. 21 시 36 분에 중단되어 23 시 35 분에 재개되었습니다. 무단 접근 사건은 앞서 언급한 바와 같습니다 (고지).
- 크리마 (Creema): 사이트 및 앱 전체. 16 시 45 분에 중단되었으며, 7 시 6 분에 재개되었습니다 (고지).
- 디지털코, EC 네비, 디지털리오 (Gift On Demand) 의 3 가지 서비스 전체가 19 시 30 분부터 순차적으로 중단되었습니다. EC 네비는 12 시에 재개되었으나, 디지털코와 디지털리오는 여전히 중단된 상태이며, 23 일 저녁에 조사 결과와 재개 전망을 알릴 예정입니다 (고지).
- GETTIIS: 전자티켓 서비스 전체. 22 시에 중단되어 2 시에 재개되었습니다 (시작, 종료).
- 월액닷컴: 판매 사이트 및 관리 화면. 23 시에 중단되었으며, 12 시 30 분 경에 재개되었습니다 (고지).
- 사이버메이트스: 전 서비스. 21 일 중단되었으며, 15 시 30 분에 재개되었습니다 (고지).
게임, 영상, 스트리밍
- 《우마娘 Pretty Derby》(Cygames) 전체 게임이 약 22 시경에 중단되어, 2 시 30 분에 재개되었습니다 (공지).
- 그란블루ファン타지 (Cygames): 게임 전체가 22 시경에 중단되어 7 시에 재개되었습니다. GREE 버전은 8 시 35 분, DMM 버전은 19 시 50 분에 재개되었습니다 (공식 X).
- Shadowverse: Worlds Beyond(Cygames) 게임, 공식 웹사이트, 문의. 약 22 시경에 중단되었으며, 0 시 30 분에 재개되었습니다 (공식 X).
- 《프린세스 코넥트! Re:Dive》(Cygames) 전체 게임이 약 22 시경에 중단되어 2 시 10 분에 재개되었습니다 (공식 X).
- 사이게임스 웹스토어와 사이게임스 이벤트 (사이게임스) 가 약 22 시경에 중단되어, 약 2 시 10 분경에 다시 복구되었습니다 (공식 X).
- 검은검 무대 온라인: 게임 전체가 22 시에 중단되어 19 시에 재개되었습니다 (공식 X).
- 《헤븐버너스 레드》(WFS): 게임 전체가 22 시 30 분에 중단되어 22 일 아침에 재개되었습니다 (공식 X).
- 신키 프로젝트 (EXNOA): 게임 접속. 21 시 30 분에 중단되었으며, 20 시 경에 재개되었습니다 (공식 X).
- 돌핀웨이브 (HONEY∞PARADE GAMES): 게임 전체가 23 시에 종료되어 3 시 27 분에 재개되었습니다 (공식 X).
- 신장노의 야모: 해도 (Koei Tecmo Games): 게임 전체. 22일 0시 30분에 중단되었으며, 14경에 재개되었습니다 (공식 X).
- 코로플라의 각 게임 (코로플라) 은 21 일 밤부터 긴급 유지보수에 들어갔으며, '백묘 프로젝트'는 0 시 25 분에 정상 운영에 복귀했습니다. 다른 게임들의 정상 운영 여부는 아직 확인되지 않았습니다 (공식 X).
- 엔버스토리아 (스퀘어 에닉스): 전 세계 서버가 22 시 55 분에 정지한 후 11 시에 재개되었습니다 (공식 X).
- 카프콘 (Capcom) 의 온라인 크레인 게임이 23 시에 중단되어 6 시 52 분에 재개되었습니다 (공식 X).
- 반다이남코 ID(반다이남코 엔터테인먼트): ID 관련 모든 기능. 23 시부터 22 일 2 시까지 예정되어 있었습니다 (고지).
- 반다이남코엑스: 공지에는 '다양한 서비스'라는 표현만 등장해, 구체적인 서비스명은 명시되지 않았습니다. 22 시경부터 중단되었으며, 이후 추가 소식은 없으며, 각 서비스 안내를 확인해 주시길 요청합니다.
- CHUNITHM-NET(세가) : CHUNITHM-NET 공식 홈페이지. 공지 페이지와 게임 플레이는 14 시에 재개되었으나, CHUNITHM-NET 은 23 일까지도 중단된 상태입니다 (공식 X).
- 세가 제품 정보 사이트 (sega.jp) 의 모든 페이지가 22 시 55 분부터 중단되었으며, 23 일 기준 재개 시점이 아직 결정되지 않았습니다 (고지).
- 스위캐스 (MOY) 는 시청 및 스트리밍을 포함한 모든 서비스가 중단되었습니다. 22 시 30 분에 중단되었으며, 21 시 50 분에 재개되었습니다. 일부 멤버십 재생 및 외부용 API 는 여전히 중단된 상태입니다 (공식 X).
- 실현 (REALITY) : 앱 전체. 23 시에 종료되었으며, 6 시 3 분에 재개되었습니다 (공식 X).
- 반다이 채널 (반다이남코 필름웍스): 브라우저, 앱, TV 를 위한 모든 서비스입니다. 20 시부터 대부분의 서비스가 중단되었으며, 23 시까지도 마찬가지입니다. 일부 라이브 스트리밍은 다른 URL 에서만 시청 가능합니다 (고지).
- 마가포케 (간토샤): 앱 버전과 웹 버전의 모든 서비스. 21 일 밤에 종료되었습니다. 23 일에는 사이트가 정상 작동하고 작품도 업데이트되었으나, 재개에 대한 공식 통보는 아직 확인되지 않았습니다 (공식 X).
- 니코니코 채널 (Dwango): 가입 및 탈퇴, 블로그 마거 조회, 채널 도구. 19 시 20 분에 일시 정지되었으며, 21 시 30 분까지 모두 정상 운영으로 복귀했습니다. 니코니코 동영상이나 전체 공지사항에는 PHP 가 명시되어 있지 않으므로, 이는 후속 B 에 포함시켰습니다 (공지사항).
- 키이트: 음악 웹 서비스 전체입니다. 16 시부터 중단되었으며, 23 시까지도 중단되었습니다 (공식 X).
- 타이츠 (개인 운영): SNS 전체. 약 21 시경에 중단되었으며, 7 시 35 분에 재개되었습니다 (운영자의 X).
同人誌の即売会と通販、イベントの申し込み
- pictSQUARE, pictBLand, pictSPACE, 미사이트 SINGS(GMW): 전 기능. 16 시에 정지한 후 3 시 이후 재개했습니다 (pictSQUARE 재개, pictBLand 재개).
- MXentry, OP-NET(GMW): 전 기능 정상. 16 시 정지 후 3 시 15 분 재개됨 (공식 X).
- 동인지 판매 서비스 전체가 21 일 중단된 후 18 시 40 분에 재개되었습니다 (공식 X).
- 문학 프리마 공식 웹사이트 (문학 프리마事務局): 공식 웹사이트입니다. 웹 카탈로그와 입점 신청은 별도의 시스템으로 운영되므로 영향이 없습니다. 16 시에 운영이 중단되었으며, 7 시 50 분에 재개되었습니다 (고지).
교통, 통신, 전력
- 일본항공 (JAL) : 일본항공 웹사이트 일부 페이지 및 서비스와 관련된プレスリリース 등. 21 시경부터 중단되었습니다. 공지 페이지를 확보하지 못했으므로, 검색 결과에 표시된 공지 내용으로 PHP 대응 여부를 확인하고 있습니다 (공지).
- ANA(전일본공수): 웹과 앱에서 Apple Wallet 를 활용한 탑승권 발행을 중단하고, 21 일부터 순차적으로 재개할 예정입니다 (고지).
- 오다큐 전철: 공식 홈페이지와 그룹 내 여러 사이트. 22 시 57 분에 정지되었으며, 20 시 30 분에 운행이 재개되었습니다 (공식 X).
- 치쿠큐 전력: 공식 홈페이지 전체가 22 시경에 중단되었으나, 22 일 오전 재개 예정이 연기되어 23 일 10 시대에도 재개되지 않았습니다 (공식 X).
- 미라이로 ID(미라이로): 장애인이용 신분증을 스마트폰으로 제시할 수 있는 서비스를 포함한 회사의 전체 서비스. 22 시 30 분에 중단되어 6 시 50 분에 재개되었습니다 (공식 X).
식사, 건강, 사진
- 스키가 (Zen Show): 반찬 예약 앱, 웹 반찬 예약, 앱 쿠폰. 웹 반찬 예약은 15 시부터 재개되었으나, 앱과 쿠폰의 재개에 대한 공지사항은 아직 나오지 않았습니다 (공지사항).
- 오오토야: 공식 웹사이트 및 앱. 약 21 시 30 분경 서비스 중단되었으며, 웹사이트는 14 시 10 분, 앱은 22 시에 재개되었습니다 (고지).
- 아스켄 (Asken): 전 서비스. 22 시 50 분경 중단되어 9 시 25 분에 재개되었습니다 (고지).
- 오므론 헬스케어: 간편 혈압 일지, 라쿠라쿠 혈압 수첩, 알림 정기 발송. 22 일부터 중단되었으며, 재개 시기는 아직 결정되지 않았습니다. 알림 페이지를 확인할 수 없으므로 페이지 제목을 통해 확인 중입니다 (알림).
- 오므론 디렉트 (오므론 소셜 솔루션즈): 무정전 전원 장치 등을 취급하는 오므론 디렉트의 일부 서비스입니다. 22 일부터 중단되었으며, 중단 기간은 정해져 있지 않습니다 (고지).
- 소니: 제품 정보 사이트와 일부 소니 스토어 서비스. 21 일 밤에 중단되었으며, 19 시 30 분경에 재개되었습니다 (공식 X).
- 포토크리에이트: 이벤트 사진 판매 사이트 등. 19 시 30 분에 중단하고, 4 시부터 순차적으로 재개합니다. 일부는 중단된 상태로 남아 있습니다 (고지).
육아
- 코도몬 (Codomon): 보호자 앱 등 모든 서비스를 포함합니다. 21 일 서비스를 중단한 후 3 시 22 분에 재개했습니다. 위치 확인 알림은 23 일 재개할 예정입니다. 첫 번째 공지에서는 "소프트웨어에 중대한 취약점이 존재함"이라고만 밝히고, 재개 공지에서는 PHP 를 명시했습니다 (공지사항).
- 코드몬 칼리지, 호이시 (코드몬): 재개 대상에는 포함되지 않았으나, 각각 9 시 32 분과 11 시 53 분에 재개되었습니다 (고지).
업무에서 사용하는 서비스
- 채트워크 (kubell) 전체 시스템은 23 시에 정지되었으며, 0 시 15 분에 재개되었습니다 (고지).
- 조정 씨: 서비스 전체가 21 일 밤에 중단되어 6 시에 재개되었습니다 (공식 X).
- Studio(노코드 웹 사이트 제작 서비스): 대시보드와 에디터 로그인, 템플릿 구매 및 판매. 22 시 26 분에 중단되었으며 4 시 5 분에 재개되었습니다. 사전 공지에서는 공개 중인 사이트에는 영향이 없을 것이라고 밝혔으나, 실제로는 공개 사이트의 폼 제출, 비밀번호 보호 페이지 접근, 그리고 CMS 일부 기능도 사용 불가능해졌다고 종료 후 설명했습니다. 회사는 10 월 16 일 불법 접근으로 인한 정보 유출 가능성을 공표했으나, 이는 별개의 사안입니다 (공지).
- 비즈오션 (BizOcean): 전체 서식 템플릿 사이트. 17 시 40 분에 중단되어 14 시 35 분에 재개되었습니다 (공식 X).
- Net 서비스, OBC 파트너스 Net, OBC 온라인 지원 (OBC 비즈니스 컨설팅) 이 19 시경에 중단되었습니다. OBC 클라우드 본체에는 영향이 없습니다. 23 일 오전 9 시, 해당 서비스가 모두 재개되었다고 통보했습니다.
- MyTalent 플랫폼 (TalentX): 전체 서비스 및 관리 화면. 19 시 15 분에 중단되어 22 일에 재개되었습니다 (고지).
- 대진, BIG ADVANCE GLOBAL, BM 포털, BA 포털 (코코페리): 전 기능. 20 시부터 순차적으로 정지되었으며, 23 일 2 시 45 분 경에 모두 재개되었습니다 (고지).
- 사쿠라 연락망 (만타): 관리 화면, 이메일, LINE, 앱 알림을 발송합니다. 23 시에 중단되었으며, 3 시 15 분에 재개되었습니다 (고지).
- 루트 IP(ROOT IP): 지식재산 관리 시스템. 22 시 30 분에 정지되었으며, 22 일 재개되었습니다 (시작, 종료).
- MIRAI(야마구라 투자자 관계) 는 기관 투자자를 위한 IR 정보 제공 등 모든 기능을 제공합니다. 22 시부터 중단되었으며, 23 일에도 사이트 접속이 불가능합니다 (고지).
- 솔리톤 시스템즈 (Soliton SecureDesktop): 새로운 인증서 발급. 19 시부터 순차적으로 중단하고, 22 일에는 정상 작동함을 알립니다.
- @nifty(니프티): 회원 지원, 마이 니프티, 홈페이지 서비스 등 순차적으로 중단되었습니다. 23 일에도 회원 지원이나 마이 니프티 등은 중단되어 있으며, 홈페이지 서비스는 관리 화면에 로그인할 수 없습니다 (고지).
금융, 상호보험
- 지주은행: 은행과 그룹사 홈페이지, 시즈긴 앱. 21 일에는 차단되었으나 23 일에는 다시 접속 가능해졌습니다. 재개에 대한 공식 발표는 아직 확인되지 않았습니다.
- au 지분은행: 웹사이트, 인터넷뱅킹, 앱 일부가 22 일 0 시 40 분경부터 차단되었으며, 23 일 0 시 20 분에 자체 대응을 종료했습니다. 위탁처 문의 서비스는 23 일 15 시까지 중단할 예정입니다 (고지).
- 北海道은행: どうぎんアプリ 등. 19 시 30 분부터 중단되었으며, 앱은 15 시 30 분 경에 다시 운영을 재개했습니다. 초기 공지사항은 '임시 시스템 유지보수'였으나, 재개 공지에 PHP 대응 사항이 명시되어 있습니다 (공지사항).
- 77 은행: 77WEB 리레이션. 23 일 오전 8 시 30 분 기준에도 정지 상태였습니다 (고지).
- 도도부현민공제 (전국생활협동조합연맹회): 인터넷을 통한 신규 가입, 마이페이지, 각종 절차 및 신청. 19 시에 중단되어 22 일에 재개되었습니다 (고지).
기업, 음악, 미디어 사이트
- ALSOK(종합경비보장) 기업 사이트. 21 시 30 분에 중단되어 6 시 40 분에 재개되었습니다 (공식 X).
- 가미이케야: 웹사이트 전반. 약 21 시경에 정지되었으며, 13 시 18 분에 재개되었습니다. 피해가 없었다고 공식 X 가 밝혔습니다.
- 김버: 우리 회사의 홈페이지입니다. 21 일부터 중단되었고, 23 일에도 중단되었습니다 (공식 X).
- 아이신 월드 유니콤: 문의 및 신청 양식. 17 시부터 순차적으로 중단되며, 23 일에는 사이트가 평소와 같이 정상적으로 표시됩니다 (고지).
- 사잔 올스타즈, 바운디, 요르시카 공식 홈페이지: 각 홈페이지, 팬클럽, 스토어. 21 일 밤에 중단하고 22 일 오후 12 시경에 재개했습니다. 세 곳 모두 동일한 공지문입니다 (사잔 올스타즈, 바운디, 요르시카).
- 北海道新聞デジタル（北海道新聞社）：PHPで動く機能と、コーポレートサイト。22日の13時ごろから止めています（告知）
국가, 자치단체, 공공기관
- 재무성: PHP 로 동작하는 홈페이지 페이지 중 일부는 22 일 재개되었으나, 일부 페이지는 조정 후 공개할 예정입니다 (고지).
- 오사카부: 페이지 ID 검색이나 보도자료 검색과 같은 사이트 내 검색 기능. 23 시 40 분부터 중단시켰으나 23 일에도 공지사항이 업데이트되지 않았습니다.
- 福井県：県のホームページのうち、PHPで動くページ。22日から順に止めています（告知）
- 히노시시: 문의 폼과 '시정에 한 말씀' 재개 (고지)
- 오야마시: 설문 및 문의용 폼. 수정 버전이 공개되면 PHP 를 업데이트할 예정이며, 이후 추가 소식은 아직 없습니다 (고지).
- MIST 의료기관용 보안 교육 지원 포털 (보건복지부 사업): 사이트 전체, 교육, e-Learning. 17 시 20 분에 재개되었습니다 (고지).
- 이곳 쿠라 (국립 정신·신경의료연구센터): 피아サポート 서비스 전체. 23 일부터 이용 가능해졌습니다 (고지).
대학
- 용가대학교: 공식 웹사이트, 포털, PHP 기반의 폼 및 앱에 대한 외부 접근. 23 일부터 가능해졌습니다 (고지).
- 명교대학교 통합 포털 사이트. 23 시경부터 중단하여 21 일 밤에 작업을 종료했습니다 (고지).
- 히로시마 대학: Moodle 는 학내에서만 접근 가능하도록 설정해 두었습니다. (19 시 50 분~01 시 30 분)
- 오시마현립예술대학교: 공식 웹사이트. 예고대로 22 일 오전에 휴교되었으며, 23 일에도 휴교됩니다 (고지).
이외에도 도쿄외국어대학교, 위탁 개발을 맡은 미나 시스템즈, 오차노미즈 미술 전문학교는 PHP 를 이유로 서비스를 중단할 가능성이 있다고 알렸습니다. 실제로 중단되었는지 확인되지 않았으므로 목록에는 포함하지 않았습니다.
서비스 자체를 완전히 종료한 것들
서비스 종료 사례도 있습니다.
- 월드퀘스트: 취약성에 대한 충분한 대응책이 마련되지 못았다고 판단하여 21 일 서비스를 종료했습니다 (고지).
- 나의 마귀의 세계를 구해라!: 심각한 PHP 취약점 대응이 어려워짐에 따라 22 일 서비스 종료 사실을 알렸습니다 (공식 X).
국내: 중단 사실을 통보했으나 PHP라는 이름은 언급하지 않은 서비스 (B)
동일한 시간대에 긴급 유지보수 안내를 발송하더라도 해당 안내에 PHP 가 명시되지 않은 것은 별도로 분류했습니다. 운영 측이 이를 명확히 밝히지는 않았으나, PHP 대응 가능성이 높습니다.
- 픽시브, 픽시브 백과사전, 픽시브 FANBOX(픽시브): 19 시에 중단되었으며, 23 시 30 분에 종료되었습니다. 중단 및 종료 사유는 "서비스의 안전성 확보를 위한 것"이라고 명시되어 있습니다.
- BOOTH(픽시브): 신규 로그인이나 구매 등. 공식 X(트위터)에 따르면 19 시부터 23 시 41 분까지 서비스가 중단되었습니다.
- 니코니코동화, 니코니코정화, 니코니코만화 (도완고): 동영상, 프리미엄, 포인트 등. 19 시부터 순차적으로 중단되었으며, 21 시 30 분까지 모두 재개되었습니다. 공지에는 "소프트웨어에 사전 알리지 않은 중대한 취약점이 발견됨"이라고 명시되어 있습니다 (공지).
- DMM.com, DMM GAMES(DMM.com, EXNOA): DMM 의 다양한 서비스 및 게임 플랫폼. 증권 및 외환 등 일부 서비스는 제외 대상이었습니다. 22 시에 중단되었으며, 19 시에 재개되었습니다. 공지에는 "외부 소프트웨어에서 확인된 취약점"이라고 명시되었습니다 (공지).
- 문학과 알케미스트 (EXNOA): DMM 의 유지보수로 인해 플레이할 수 없었습니다. 23 일에도 공식 홈페이지는 '유지보수 중'으로 표시되고 있습니다 (공식 홈페이지).
- 도코모 (NTT 도코모): 기업 사이트, My docomo, 온라인 샵 등. 21 일 밤에 중단되었으며, 11 시경부터 순차적으로 재개되었습니다. 중단 사유는 '예방적 보안 대응'으로 명시되어 있습니다 (고지).
- BUYMA(에니그모): 조회, 구매, 판매, 문의를 포함한 모든 서비스. 22 시부터 중단되었으며, 23 시에도 재개 여부는 아직 명확하지 않습니다. 진행 중인 거래의 자동 처리도 중단했습니다. 공지에는 '시스템 취약점 대응'이라고 명시되어 있습니다 (공지).
- 페이리치: 공개 중인 페이지를 포함한 모든 서비스. 22 시 50 분에 중단되었으며, 0 시 15 분에 복구되었습니다. 공지에는 '이용 중인 소프트웨어에서 발견된 취약점'이라고 명시되어 있습니다 (상태).
- 메이크업샵 (GMO 메이크업샵): 상점 및 관리 화면 작업은 4 시 42 분에 종료되었습니다. 리피팅 쇼핑 기능 'MakeRepeater'는 14 시부터 중단되었으며, 수 일 이상 소요될 것으로 예상됩니다 (고지).
- 라켓 마켓 (라켓 그룹) 의 공지에는 '일부 서비스'라는 표현만 등장했을 뿐, 어떤 기능이, 언제부터, 왜 중단되었는지에 대한 내용은 명시되지 않았습니다. 23 일에는 해당 공지의 본문이 삭제되었습니다.
- LIFULL HOME'S(이하 LIFULL)의 각 서비스, 돌봄 서비스, 부동산 크라우드 펀딩 등. 20 시에 중단되었으며, 주요 서비스는 23 일 9 시까지 재개되었습니다. 일부 서비스는 여전히 중단된 상태입니다 (고지).
- 알파폴리스: 운영 중인 모든 웹사이트와 앱은 21 일 저녁에 중단된 후 23 일 재개되었습니다. 공지에는 "소프트웨어의 보안 문제 (취약점)"이라고 명시되어 있습니다 (공식 X).
- DLsite(에이시스): 22 시 45 분부터 서비스를 중단했으며, 3 시 18 분에 DLsite 와 DLsite play 를, 12 시 23 분에 뷰어 앱 등을 재개했습니다 (공식 X).
- BOOK☆WALKER(스톡): 스토어. 4 시 이후 재개했습니다. 공지에는 "소프트웨어에 중대한 취약점이 존재함"이라고 명시되어 있습니다 (공식 X).
- 멜론북스: 쇼핑 사이트의閲覧, 구매, 문의. 약 17 시 30 분에 중단하고, 10 시 19 분에 재개했습니다. 중단 이유는 명시되지 않았습니다 (공식 X).
- 애니메이트 온라인 스토어 (애니메이트): 전 서비스. 예정된 시간은 18 시 30 분부터 22 일 8 시까지입니다. 공지에는 '시스템 유지보수'라고만 명시되어 있습니다 (공지).
- 피아프로 (Crypto Future Media) 의 전체 사이트가 21 시부터 중단되었으며, 23 시까지도 중단되었습니다. 공지사항에는 '기반 소프트웨어에 대한 중대한 취약점 수정이 예정되어 있다'고 명시되어 있습니다 (공식 X).
- 아이돌 마스터 포털, ASOBI STORE(반다이남코엔터테인먼트): 사이트 전체. 14 시부터 티켓 판매와 웹 스토어만 재개되었으며, 나머지 서비스는 23 일까지 중단되었습니다. 공지사항에는 '보안 강화에 따른 긴급 유지보수'라고 명시되어 있습니다 (공식 X).
- 포켓몬스리프 (포켓몬, 선택 버튼): 앱과 공식 웹사이트. 21 일 밤에 중단되었으며, 18 시 6 분에 재개되었습니다. 공지에는 "시스템 보안 조치에 따라"라고 명시되어 있습니다 (공식 X).
- 포켓몬 챔피언즈와 포켓몬 홈 (포켓몬) 은 20 시에 중단되었으며, 포켓몬 챔피언즈는 11 시 2 분, 포켓몬 홈은 16 시 1 분에 다시 시작되었습니다. 중단 이유는 명시되지 않았습니다 (공식 X).
- ALL.Net, Aime(세가): 대응하는 아케이드 게임의 네트워크 기능입니다. 23 시에 중단되었으며, 게임 플레이는 14 시에 재개되었습니다. Aime 서비스 사이트 역시 23 일 동안 유지보수 중입니다 (공식 X).
- 코드몬 스토어 (코드몬): 스토어 조회 및 이용. 16 시 16 분에 재개되었습니다. 공지에는 '소프트웨어에 중대한 취약점이 존재함'이라고 명시되어 있습니다 (공지).
- 요코하마 DeNA 베이스타스 블루메이트스 팬클럽 마이페이지. 22 일 오후 10 시경까지 예정되어 있으며, 사유는 '시스템 점검'이라고만 명시되어 있습니다 (고지).
- FC 도쿄와 키요토 산가 FC: FC 도쿄는 공식 홈페이지를 19 시경부터 11 시까지, 키요토 산가 FC 는 팬클럽 마이페이지와 온라인 스토어를 21 일부터 중단했습니다. (FC 도쿄, 키요토 산가 FC)
- 한신 전기철도: 자체 웹사이트. 한신 앱은 일부 서비스에서 제외되었습니다. 22 일 오전 8 시 40 분에는 정상적으로 표시되고 있습니다 (고지).
- 사쿠라하마시: 공식 홈페이지를 중단하고 간소화된 사이트를 표시 중이었는데, 23 일부터는 평소와 같이 정상적으로 표시되고 있습니다 (사쿠라하마시).
- 가이치노마츠시: 시설 예약 등 온라인 서비스 제공. 일부는 재개되었습니다. 공지에는 '사용 중인 소프트웨어에 중대한 취약점이 존재할 수 있다'는 내용이 포함되어 있으며, IPA(일본 정보보안센터) 의 PHP 경고에 대한 링크가 연결되어 있습니다 (공지).
- 筑波大学：大学のサイトの一部のページ。20時に止め、11時30分に再開しました（告知）
- 노후 케어 서비스 정보 공개 시스템 (보건복지부): 전체 시스템. 16 시부터 22 일 12 시까지 예정되어 있으며, 23 일에는 공개될 예정입니다. 공지에는 "긴박한 취약점 대응을 위한 것"이라고 명시되어 있습니다 (시스템).
- 와세이 증권: NISA 계좌 개설, 주소 변경, 지점 검색, IPO 정보 등은 23 일 오전 8 시 기준에도 업데이트되지 않았습니다. 공지에는 '긴급 유지보수'로 명시되어 있습니다 (공지).
- 북양은행: 홈페이지는 22 일 재개되었으며, 23 일에는 iDeCo 등도 재개되었습니다. 앱으로 계좌 개설 등은 여전히 중단된 상태입니다 (고지).
- 리소나은행: 방문 예약 서비스. 22 일 오후 12 시부터 재개되었습니다. 사유는 '임시 시스템 유지보수'로 명시되어 있습니다 (고지).
운영 주체가 알리지 않았고 언론 보도로만 확인 가능한 항목 (C) 에는三菱 UFJ 은행, 미즈호 은행, 아오모리 미치노쿠 은행, 야마나카 중앙 은행, 산인 겐고 은행, JR 동일본 (뷰카드 앱 등), 하마 Sushi 앱, 로슨 티켓, 기상청, 키호쿠 홀딩스가 있습니다.
렌탈 서버와 CMS
대부분의 렌탈 서버는 사용자의 웹사이트는 그대로 두면서 오직 자체 웹사이트와 관리 화면만 차단합니다. 관리 화면만 차단했다면 해당 서버를 임대한 회사의 웹사이트는 평소와 같이 정상적으로 접속 가능하게 됩니다.
운영 주체가 PHP 대응을 명시하고 있는 사업자는 다음과 같습니다.
- X 서버 (신 렌탈 서버, 스타 서버도 동일): 공식 웹사이트, 관리 화면, 웹 메일, API, 신청 등은 16 시부터 중단되었으며, 22 일 내에 대부분을 재개했습니다. 이용자의 서버는 작동 상태로 유지하면서 PHP 5.6~8.5 의 모든 버전에 수정을 적용 완료했습니다. 5.5 이전 버전은 수정을 만들어 테스트 중인 중입니다 (고지).
- 로리팝 (GMO 페파보): 서비스 사이트, 사용자 전용 페이지, API 등. 공개 중인 사이트는 그대로 유지되었으며, 관리 화면은 13 시 34 분에 재개되었습니다. PHP 5.3~7.3 에는 자체 개발한 수정 사항을 적용하여, 모든 버전에서 공격에 활용되는 기능 중 하나인 'session.upload_progress'를 무효화했습니다. 해당 취약점을 표적으로 한 접근이 확인되었다고도 밝혔습니다 (고지).
- 헤텀 (GMO 페파보): 서비스 사이트 및 관리자 패널. 관리자 패널은 12 시 12 분에 재개되었습니다. 기존 PHP 에도 독자적인 수정이 적용되었습니다 (고지).
- CPI (KDDI 웹 커뮤니케이션즈): 서비스 사이트와 관리 화면을 21 시부터 순차적으로 중단하고, 22 일 내에 대부분을 복구했습니다. 파일 매니저 등 일부 기능은 30 일 이후 복구될 예정입니다. PHP 4.x 를 사용하는 이용자는 5.2 로 업그레이드할 때까지 임시 대책을 스스로 설정해달라고 요청합니다 (고지).
- 카고야: 초기에는 서비스를 중단하지 않고 수정 버전을 적용할 계획이었으나, 22 일 오후 2 시 15 분부터 회원 사이트 및 각종 컨트롤 패널을 중단했습니다. 23 일 현재 종료 여부는 아직 밝혀지지 않았습니다. 관리 전용 서버 등 일부 플랜의 경우 영구적인 대응 방안이 결정되지 않았으며, 사용자에게 설정 파일을 통해 사이트를 중단하는 방법을 안내하고 있습니다 (고지).
- Zenlogic 호스팅 (IDC 프론티어) 은 표준 제공 PHP 에 수정을 적용하기 위해 웹 서버를 유지보수했습니다 (고지).
- 코노하 WING(GMO 인터넷): 초기 공지에는 '시스템 유지보수'만 언급되었으나, 종료 공지에서는 모든 PHP 버전으로 수정이 적용되었다고 명시했습니다. 종료 시간은 20 시 45 분입니다 (공지).
- mixhost: 페이지를 22 시 10 분부터 중단하고 9 시 48 분에 재개했습니다. PHP 5.2~8.5 수정 적용 완료 (고지)
- 이동 타입 클라우드 버전 (Six Apartment) 은 PHP 를 8.3.36 으로 강제로 업데이트하고, 0 시 12 분에 모든 환경에서 작업을 종료했습니다. 소프트웨어 버전 사용자는 스스로 PHP 를 업데이트해야 합니다 (고지).
- PowerCMS 클라우드 (AlphaSard): 사용자의 환경에 맞춰 유지보수 모드로 전환한 후, 공식 임시 대응책을 모든 환경에 적용한 뒤 원래 상태로 복귀했습니다 (고지).
알림을 내더라도 PHP 를 명시하지 않은 업체는 다음 업체입니다.
- 사쿠라 렌탈 서버: 회원 메뉴, 신규 등록, 도메인 관리 화면 등을 중단한 후 22 일 내에 대부분을 재개했습니다. 서버 재부팅을 동반한 이번 유지보수는 10 월 20 일에 공지된 것으로, 같은 기간에 공개된 Linux 커널의 취약점에 대한 대응일 가능성도 있습니다 (공지사항).
- 오네이름.com 렌탈 서버 (GMO 인터넷): 일부 서버에서 '시스템 유지보수'를 진행했습니다. 22 일의 공지에서는 파일 관리자, phpMyAdmin, 웹 메일을 중단 상태로 유지하며 순차적으로 수정을 적용하고 있다고 밝혔습니다 (공지).
해외: 운영자가 PHP 지원 여부를 명시하고 있는 조직 (A)
해외에서 주목받는 것은 핀란드의 대학과 지방자치단체입니다. 핀란드에서는 정부 ICT 센터도 중앙정부 공개 사이트를 중단했다는 보도가 나왔으며, 국가 전체가 일제히 대응하는 것처럼 보입니다. 각 조직의 상황은 일본시간 23 일 11 시경에 확인한 것으로, 대부분 22 일 내에 재개되었습니다.
- CSC(핀란드 연구용 IT 센터) 의 Funet FileSender, LUMI AI Factory 사이트, Kielipankki, Sanat, Tieteentermipankki, Fairdata.fi, Fairdata IDA, Fairdata Metrics, EUDAT B2DROP Premium 서비스를 현지 시간 21 일 12 시부터 중단하고, 22 일 10 시 28 분에 모두 재개했습니다 (고지).
- 메트로폴리아 응용과학대학교: 공식 웹사이트, Moodle, 개인 페이지, 프로젝트 사이트 등 PHP 로 구축된 모든 서비스를 중단했습니다. 현재는 공식 웹사이트와 Moodle 만 표시되고 있으며, 공지사항은 업데이트되지 않았습니다 (공지사항).
- 오울대학교는 외부에서 무도 (Moodle) 등의 학습 관리 시스템에 접속하는 것을 차단했다가, 현지 시간 22 일 아침에 모든 서비스를 업데이트하여 원래 상태로 복구했다고 공지했습니다.
- 하가 헬리아 응용과학대학교: 공식 웹사이트, 무들, 수강 안내, 신청 양식, 방문객용 와이파이, 파일 전송, 프로젝트의 워드프레스 사이트를 종료했습니다. 공식 웹사이트와 수강 안내는 재개되었으나, 신청 양식과 방문객용 와이파이 등은 여전히 중단된 상태입니다 (고지).
- 오울라시: 대중교통, 비즈니스, 오울라 박물관, 'Mun Oulu' 등을 포함한 시의 워드프레스 사이트 전체를 중단하고, 21 일 밤에 재개했습니다 (고지).
- 라하티시: 시의 온라인 스토어와 모든 온라인 결제 기능을 중단했습니다. 재개에 대한 공지는 아직 나오지 않았습니다.
- 리히마키시: 일부 전자 서비스를 중단했습니다. 이후 추가 소식은 아직 나오지 않았습니다 (고지).
- 영국 지식재산청: PHP 문제 조사를 맡긴 위탁 기관이 결제 중단을 이유로 예치금 계좌에서 결제를 중단했으나, 22 일에는 모든 서비스가 정상적으로 운영되고 있다고 밝혔다 (고지).
- 영국 국립문서관: NCSC 의 조언을 따르며 조사 가이드, 라이브 채팅, 기록 조회 등을 중단한 후 22 일 수정 버전을 적용해 재개했습니다 (고지).
- 위키미디어: 툴포지, 클라우드 VPS 등 위키백과를 지원하던 주변 서비스를 의도적으로 중단했습니다. 위키백과 본체는 평소와 같이 확인할 수 있으나, 툴포지 등은 23 일까지 사용할 수 없습니다 (고지).
- Something Awful(미국 포럼): 전체 포럼을 중단하고 수정 버전을 적용하여 재개했습니다 (고지)
- NCSC-NL(네덜란드의 국가 사이버보안센터): 사전에 자체 사이트를 차단한 후 재개했습니다 (고지)
- 벨기에 외교부: CVE 번호를 명시하여 차단했던 diplomatie.belgium.be 사이트를 22 일 재개했습니다 (사이트).
- 노이브 (오스트리아의 개인정보 보호 단체): 사이트 전체를 차단하여 23 일부터 가시화되었습니다.
- OBS 프로젝트: OBS Studio配信 소프트웨어 공식 사이트 일부가 중단되었습니다. 현재는 사이트가 정상적으로 표시됩니다 (공식 X).
해외: 이름에 PHP 라는 단어가 명시되지 않은 조직과 보도만으로는 확인할 수 없는 조직
운영자가 중단 사실을 알렸음에도 PHP 를 명시하지 않은 조직은 다음 (B) 입니다. 모두 23 일경에 나타날 것으로 보입니다.
- DeviantArt: 전체 사이트. "사용 중인 소프트웨어의 업데이트"라고만 명시되어 있습니다 (공식 X).
- 샤리테 베를린대학교: 공식 웹사이트 등. '세계적인 IT 보안 취약점'이라고 명시하고 있습니다 (공식 X).
- 프랑스 데이터 보호 기관인 CNIL(cnil.fr 등 공식 X):
- 네덜란드 정부, 로기우스, Overheid.nl, 네덜란드 축구 협회 (KNVB): 로기우스는 21 일 오후 12 시부터 22 일 아침 7 시 15 분까지 장애가 발생했다고 밝혔다 (로기우스).
운영 주체가 공식적으로 알리지 않았고, 언론 보도를 통해만 확인할 수 있는 조직은 다음 (C) 입니다. 괄호 안은 보도 매체입니다.
- 4chan: 댓글 달 수 없는 읽기 전용 상태 (The Verge)
- 호주 정부의 사이버.gov.au 웹사이트 등 (ABC, The Guardian)
- 핀란드 정부 ICT 센터 발토리 (Valtori) 가 중단한 중앙정부 공식 웹사이트 (Yle)
- 헬싱키 북페어, 핀란드 영화재단 웹사이트 (마아세두누 톤네이바우스, YLE)
- 독일의 연방 IT 서비스 센터인 ITZBund이 운영하는 연방 정부 웹사이트 (루터스)
- 파리 경찰청과 프랑스 각 주의 주청 웹사이트 (가디언, 로이터)
- 에디ン버러시, 하이랜드, 오크니, 스코틀랜드 NHS 보건국 등 (BBC)
- 브리스틀과 오ックス퍼드 (가디언)
- BBC 의 프로그램 사이트입니다. BBC 는 자체적으로 PHP 와의 관련성을 확인할 수 없다고 밝혔습니다 (BBC).
- 로테르담 항, 네덜란드 하원, 네덜란드 국립 공중보건환경연구소 (루터스, BBC)
- 벨기에 연방경찰 (La Libre)
- 덴마크의 자치단체용 시스템 기업 콤비트, 체코 정부 웹사이트 (루터스)
목록에 포함되지 않은 것들
목록에 이름이 포함되어 있더라도 확인 결과 다음 항목은 목록에서 제외했습니다.
- 컬러박스, EC-CUBE, WADAX: PHP 관련 공지사항을 찾을 수 없습니다.
- 厚生労働省のホームページ本体：ふだんどおり表示されていて、告知もありません。報道された「厚労省のサイトの一部」は、上のMISTなどを指しているのかもしれません
- 부시로드: 사이트는 중단되었으나, 유지보수 화면에는 과거부터 사용하던 표준 문구가 그대로 남아 있으며, 중단 사유나 이번 날짜는 명시되지 않았습니다.
- ふるさとチョイス：停止の告知は出ていますが、不正アクセスによる別の件です
- 웹아레나 (NTTPC): 새로운 신청을 중단하고 있으며, 그 이유는 리눅스 커널의 취약점 때문입니다.
- ソフトバンク（My SoftBankなど）、マネックス証券：停止はそれぞれ10月17日と19日からで、理由は不正アクセスの試みです
- 발테크: 처음에는 PHP 가 원인으로 적었지만, 이후 이를 오류로 판명되어 수정되었습니다.
- 멜커리: 임시 유지보수 시행 가능성이 있다는 안내를 했지만, 최종적으로는 시행을 취소했습니다.
- WordPress.com: 대응책은 이미 마련되었으며, 서비스를 중단하지 않는다는 점을 알렸습니다.
- 핀란드의 SuPer, NYT: 중단 통보 확인 불가
- WP 엔진, 이티, 슬랙, 페이스북: PHP 를 사용하는 사례로 보도된 기업들인데도 중단 사실을 알리는 공지 없이 이름만 언급된 사례입니다.
운영자마다 서비스 중단 범위, 재개까지 소요되는 시간, 그리고 공지 내용은 모두 달랐습니다.
목록을 정리해 보면, 동일한 취약점에 대한 대응임에도 운영자에 따라 차단 방법이 크게 달랐음을 알 수 있습니다.
전체 서비스를 중단한 경우 (BASE 나 Chatwork 등), 새로운 인증서 발급만 중단한 경우 (Soliton SecureDesktop 등), 탑승권 발급의 일부만 중단한 경우 (ANA 등) 가 있었습니다. 대부분의レンタル 서버는 이용자의 사이트를 중단하지 않고 관리 화면만 차단하고 있습니다. 운영자가 자체 시스템에서 PHP 가 실행되는 위치를 파악할 수 있다면, 이처럼 범위를 좁혀 차단할 수 있습니다. 파악할 수 없다면 사이트 전체를 차단할 수밖에 없습니다. 대응책이 없는 경우 서비스 자체를 종료하는 단계까지 이르기도 했습니다.
서비스 중단 시점도 운영사마다 달랐습니다. BASE 와 pictSQUARE 는 수정 버전 공개 전 7 시간인 오후에 중단했고, OBC 와 TalentX 는 수정 버전 공개 예고 단계에서 중단했습니다. Cygames 의 게임들은 수정 버전 공개 1 시간 전에 중단했으며, Shadowverse: Worlds Beyond 은 0 시 30 분, 우마娘은 2 시 30 분에 서비스를 재개했습니다. 수정 버전을 적용할 준비가 되어 있다면 운영사는 수정 버전 공개 후 수 시간 만에 서비스를 재개할 수 있었을 것입니다. 반면, BUYMA, 세가의 제품 정보 사이트, 밴다이 채널, 구주 전력사의 홈페이지와 같이 수정 버전 공개 후 1 일 반이 지난 23 일 아침에도 여전히 중단된 상태로 남아있는 서비스도 있었습니다.
운영자가 이용자에게 발송한 공지 내용에도 차이가 있었습니다. 스튜디오는 사전 공지에서 공개 중인 사이트에는 영향이 없다고 밝힌 바 있습니다. 그러나 실제로는 공격에 활용될 수 있는 통신을 차단하기 위해 공개 사이트용 API 도 중단시켰습니다. 종료 후 공지를 발송할 때 이 사실을 설명하고, 폼 전송이 불가능한 방문자에게 재방문 안내를 요청하도록 이용자를 안내하고 있습니다. 실제로 중단된 범위가 사전 예상보다 더 넓어질 수 있으므로, 유지보수가 완료된 후 이를 공지에 추가하면 이용자는 자신의 사이트에서 어떤 일이 발생했는지 확인할 수 있습니다.
이 글에서 A 와 B 를 구분한 기준은 공지사항에 PHP 가 언급되었는 여부입니다.北海道銀行이나 코도몬처럼 첫 번째 공지에는 이유를 밝히지 않고, 재개 공지에 PHP 대응 여부만 명시한 사례도 있었습니다. "소프트웨어 취약성"이라고만 적어도 사용자에게 큰 불편은 거의 없습니다. 다만 거래처나 감독 기관으로부터 문의를 받는 입장인 회사라면 어떤 대응을 취했는지, 언제 재개할 예정인지까지 명시해두는 것이 좋습니다. 이를 통해 같은 설명을 반복할 필요가 없기 때문입니다.
이번에는 많은 운영자들이 수정판이 공개될 날짜와 시간을 공개 당일 아침에 확인했습니다. 다음에 같은 일이 발생했을 때 당황하지 않으려면 평소부터 회사의 어떤 시스템에서 어떤 버전의 PHP 가 실행되고 있는지 목록으로 정리해 두는 방법이 있습니다. 또한 어떤 기능을 중단해도 업무가 정상적으로 이어지는지, 이용자에게 무엇을 어디에 알리는지 미리 결정해 두면 중단 범위를 좁힐 수 있고, 알림도 빠르게 발표할 수 있습니다.
요약
php2shell 으로 인해 중단된 서비스 대부분은 공격을 예방하기 위해 사전에 중단한 것이며, 23 일까지 거의 모두 재개되었습니다. 중단된 서비스의 범위와 재개까지 소요되는 시간, 그리고 공지 내용 등은 운영자가 자체 시스템에서 PHP 가 어디에 사용되고 있는지 파악했는지에 따라 달라집니다. 다음 취약점이 발견되기 전에, 자체 시스템에서 PHP 가 어디에서 실행되고 있는지 한 번 정리해두는 것은 어떨까요.
참고문헌
- PHP「PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 출시」（2026 년 10 월 21 일）: https://www.php.net/archive/2026.php
- GitHub 보안 조언 GHSA-w8hw-w9fx-j79w (CVE-2026-109618): https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
- GitHub 보안 조언 GHSA-6wmf-4rv5-p3rp (CVE-2026-109619): https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
- PHP 재단「오늘의 PHP 보안 릴리스 및 PHP 보안 강화 방안」(2026 년 10 월 21 일): https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
- Wiz「php2shell」（2026 년 10 월 21 일): https://www.wiz.io/blog/php2shell-php-rce
- 칼리프「php2shell」: https://calif.io/php2shell/
- 클라우드flare「PHP 취약점: WAF 보호」(2026 년 10 월 21 일): https://blog.cloudflare.com/php-vulnerabilities-waf-protection/
- CISA「PHP 치명적 취약점: 즉시 패치 필요」(2026 년 10 월 21 일): https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
- NCSC「PHP 를 타격하는 중대한 보안 취약점」(2026 년 10 월 21 일): https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php
- ENISA 등「중요한 PHP 취약점에 관한 공동 성명서」(2026 년 10 월 21 일): https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities
- 사전 준비 요청: PHP 보안 릴리스 공개 예정에 관한 안내 (2026 년 10 월 21 일): https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
- IPA「PHP 취약점 대응 방안 (PHP2shell)」（2026 년 10 월 22 일): https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
- JPCERT/CC「PHP 취약점 관련 주의보」JPCERT-AT-2026-0033(2026 년 10 월 22 일): https://www.jpcert.or.jp/at/2026/at260033.html
- フューチャーショップ「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（第一報）」（2026年10月23日）: https://www.future-shop.jp/news/2026/10/23.html
- GMO 인터넷이「오네이름.com 데스크톱 클라우드」에 관한 공지 (제 2 호): https://www.onamae.com/news/article/11593
- W3Techs「PHP 사용 통계」: https://w3techs.com/technologies/details/pl-php
- The Verge (2026 년 10 월 21 일): https://www.theverge.com/tech/1015906/php2shell-vulnerability-october-2026
- 가디언 (2026 년 10 월 21 일): https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world
- BBC(2026 년 10 월 21 일): https://www.bbc.com/news/articles/cwm23e6pe93mo
- ABC 뉴스 (2026 년 10 월 22 일): https://www.abc.net.au/news/2026-10-22/php-vulnerabilities-cyber-asd/107294812
- 루터스 통신 (CNBC 보도, 2026 년 10 월 21 일): https://www.cnbc.com/2026/10/21/government-websites-go-dark-as-software-flaw-sparks-security-scramble.html
- 요르바르네트 (Yrjö Barbarett) 는 1990 년에 설립된 핀란드 최대의 독립 출판사입니다.
- [ITmedia NEWS(2026 년 10 월 22 일)]
- 각 서비스의 안내는 목록의 각 항목에 링크로 연결되어 있습니다.
출처: note 원문
번역: Qwen 3.5(.48) 초벌 + 교정 146청크
원문 보기 | 출처: note.com