# PHP 취약점을 Hacker News 에 유출한 사람이 "비밀이라고 몰랐습니다"라고 사과했습니다.

> https://bookfactory.kr/board/news/23557
> 게시판: 뉴스
> 작성자: tachikoma43
> 작성일: 2026-10-24T05:07:18.330Z

---

웹사이트 및 웹 애플리케이션 개발에 널리 사용되는 프로그래밍 언어인 PHP 에 심각한 취약점이 발견되어, 일본 시간 2026 년 10 월 21 일 23 시에 보안 업데이트 프로그램 및 상세 정보가 공개될 예정이라는 것이 발표되었습니다. 이로 인해 많은 웹사이트와 서비스가 긴급 유지보수에 들어가는 혼란이 발생했습니다. 이 사건은 원래 PHP 보안 팀이 패치를 공개할 예정이었으나, 소셜 뉴스 사이트 Hacker News 에서 취약점 정보가 유출되어 조기 공개로 변경되었습니다. 해당 취약점을 게시한 사용자가 Hacker News 에 다시 등장하여"PHP 정보 공개 금지에 대해 아무것도 모르고, 엉뚱한 형태로 역전해버렸다"고 혼란에 대해 사과했습니다. Tell HN: I unknowingly broke the PHP RCE embargo. I am sorry. | Hacker Newshttps://news.ycombinator.com/item?id=50193416Hacker News 의 디스커션 게시글'Tell HN'에서 petecooper 라는 사용자가 2026 년 10 월 20 일"신뢰할 수 있는 정보원에 따르면, CVSS(보안상 심각도) 점수가 10.0 인 PHP RCE 취약점 2 건에 대한 발표가 2026 년 10 월 22 일 18:00 CEST(일본 시간 10 월 23 일 1 시)에 예정되어 있다는 것"이라고 게시했습니다. petecooper氏は 정보원 인용으로"확실한 증거는 없으나, PHP 를 프로덕션 환경에서 운영 중이라면 우선적으로 업데이트 준비를 해두는 것이 좋겠다"고 명시했습니다. 이번 발견된 PHP 의 중대한 취약점"PHP2Shell"2 건은 보안 기업 Calif 와 OpenAI 가 각각 독립적으로 2026 년 8 월에 발견했다는 것이 보고되었습니다. PHP 보안 팀은 업데이트를 배포할 예정이었으나, 패치 공개 전 취약점 식별 번호 및 발표 일정 등이 유출되고, 이후 공격 방법을 보여주는 영상 등도 유출되어 수정 전 PHP 가 공격 대상이 될 위험이 높아졌습니다. 이후 Calif 가 취약점 개념 증명 영상을 실수로 공개했고, 해당 영상은 삭제되었으나 SNS 에서 확산되었습니다. 또한 공개된 정보를 단서로 다른 연구자가 취약점을 재현했다고 보고되는 등 패치 공개 전 취약점의 세부 사항이 밝혀져 갔습니다.

Petecooper 님의 게시글에 대해 "취약성 정보는 공개 금지여야 한다"며 "이런 방식으로 발표하는 것은 누구나 자신의 에이전트를 사용하여 취약점을 발견하고 악용하도록 장려하는 것처럼 보인다"는 비판적인 답변이寄せられました. 반면, "이미 X 에서 발견되어 확산되고 있다"는 의견이나, 패치가 공개되기 전에 사이트 운영자가 대응할 수 있도록 널리 알려져야 한다는 의견도 있었습니다. 결과적으로 PHP 보안 팀은 예정된 업데이트를 앞당겨 2026 년 10 월 21 일 긴급 보안 업데이트를 공개한다고 발표했습니다. 일본의 다양한 웹사이트는 긴급 패치를 적용하기 위해 일시적으로 유지보수 상태로 전환되었으며, 최종적으로 PHP2Shell 을 대응하기 위한 긴급 업데이트인 '8.5.12', '8.4.27', '8.3.36', '8.2.35'가 일본 시간 2026 년 10 월 21 일 23 시에 출시되었습니다. PHP 가 긴급 업데이트 '8.5.12', '8.4.27', '8.3.36', '8.2.35'를 출시 - GIGAZINE

그 후 petecooper 가 Hacker News 의 'Tell HN' 에 다시 게시하여"PHP 취약성 관련 게시물이 정보 공개 일정에 상당한 영향을 미쳐 작업 부담이 증가했다는 사실을 인지했습니다. 진심으로 죄송합니다. 제 행동에 대해 전적으로 책임을 지겠습니다"라고 사과했습니다. petecooper 는 게시 당시 이번 취약성에 엔버거 (정보 공개 금지 기간) 가 설정되어 있다는 사실을 알지 못했으며, 정보 제공자 및 그 정보 제공자로부터도 엔버거가 없다고 들었음을 밝혔습니다. petecooper 는 PHP 릴리스 사이클에 따라 소스 코드를 컴파일하고 있었기 때문에, 비슷한 상황에 있는 사람들로 하여금 업데이트의 중요성과 긴급성을 인식하게 하려는 의도였다고 합니다. Hacker News 에서는 petecooper 를 옹호하는 목소리도 많았으며"알지 못했던 엔버거를 위반한 책임이 있을 수 없습니다"라는 지적이나"당신은 자신에게 가까운 정보에 반응했을 뿐이며, 전적으로 책임을 지는이라는 표현에 이의를 제기해야 합니다"라는 의견 등이 제기되었습니다. petecooper 는"일부 미디어는 제가善意로 게시한 내용이 정보 공개 금지 조치의 폐지나 사전에 합의된 일정 변경의 계기가 되었다고 보도했습니다. 그 이후로 잘 자지 못했습니다. 사과하고 자신의 책임을 인정하는 것은 저에게 새로운 행동 원칙입니다.今夜는 잘 자기를 바랍니다"라고 말했습니다. 또한, petecooper 는 프리랜스 컨설턴트이며, 이번 사태와 관련된 어떤 단체와도 어떠한 연결이나 협력 관계도 없음을 밝혔습니다.

[원문 보기](https://gigazine.net/news/20261023-php-rce-unknowingly/) | 출처: Gigazine