관련 글
▶ 【PHP 혼란 해설: 후편】AI 가 정보를 어디에서 얻고 있나요? php2shell 사건을 통해 AI 가 외부 정보를 수집할 때의 위험성
▶ 【3 분 만에 알 수 있는】JPCERT/CC 주의보 | 10 월 23 일 업데이트, 위험 요소는 무엇이며 무엇을 해야 할까요?
우리 사이트는 PHP 를 사용하지 않았기 때문에 문제가 없었습니다.
이번 사태로 인해 그런 생각을 하시는 분들도 많지 않았을까요.
물론, PHP 를 사용하지 않았다면 이번 문제와 관련된 PHP 취약점이 해당 시스템에 직접적인 영향을 미치지 않습니다. 실제로 '영향 없음'을 공식적으로 발표하는 기업과 서비스도 있습니다.
다만, 여기에서 한 가지 고려해 보아 주시기 바랍니다.
본사의 웹사이트에 문제가 없으며, 본사의 업무 환경이 안전하다고 해서 반드시 같은 의미일까요?
목차
- 관련 기사
- 2026 년 10 월 PHP 논란에서 어떤 일이 일어난지
- 「영향 없음」이라는 발표에서 드러나는 점
- 본사의 서비스는 무사히 운영되더라도 외부에 맡긴 부분은 별개의 문제입니다.
- 이것은 많은 기업에 해당되는 이야기입니다.
- 확인해야 할 사항
- 우리가 직접 관리하는 시스템이 업데이트되었나요?
- 클라우드 위에서 우리가 제어하고 있는 것이 업데이트되고 있나요?
- 3. 외부에 맡긴 부분에는 어떤 대응이 이루어지고 있는지
- 후편으로 이어집니다: "영향 없음"이라는 한 마디 말 이후까지
안녕하세요, leotimez 입니다.
이번에는 2026 년 10 월에 공개된 PHP 의 중대한 취약점과 관련된 논란을 되돌아보고, 영향을 받지 않은 기업들의 발표를 통해 드러나는 간과하기 쉬운 위험에 대해 고찰해 봅니다.
2026 년 10 월 PHP 논란에서 어떤 일이 일어났는지
2026 년 10 월 21 일 일본 시간 밤, 웹 사이트 및 업무 시스템에서 널리 사용되고 있는 프로그래밍 언어인 PHP 의 중대한 취약점 2 개와 그 수정 버전이 공개되었습니다.
대상은 CVE-2026-109618 과 CVE-2026-109619 입니다.
이 두 취약점은 'php2shell'이라고도 불립니다. 특정 조건에서는 인증 없이 원격의 제 3 자가 서버에서 임의의 코드를 실행할 수 있는 위험이 있습니다. 수정 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 입니다. 지원이 종료된 PHP 8.1 이전 버전은 공식 수정이 제공되지 않을 수 있다고 알려져 있습니다.
일본의 각국 보안 기관이 경고를 내세우며, 일본에서도 총리가 X(트위터)에서 대응을 요구하는 등 큰 논란이 일었습니다. 국내에서는 정부 부처와 지자체, 금융 기관, 게임, 전자상거래 등 다양한 분야에서 웹사이트와 서비스의 예방적 중단 및 긴급 유지보수가 잇따랐습니다.
여기서 오해하지 말아야 할 점은 서비스를 중단한 조직이 반드시 공격을 받은 것은 아니라는 점입니다.
위약이 악용되기 전에 안전을 확보하기 위해 의도적으로 중단하는 것입니다. 이는 사업 연속성과 정보 보안을 모두 고려한 판단입니다.
참고: IPA｜PHP 취약점 대응 방안 (CVE-2026-109618, CVE-2026-109619: PHP2shell)
「영향 없음」 발표에서 드러난 점
이번 사태에서는 자체 기반과 서비스가 영향받지 않는다고 발표하는 기업도 있었습니다.
다만, 그 발표를 자세히 읽어보면 '영향 없음'이라는 표현으로 끝나는 내용에는 포함되지 않는 중요한 사항이 담겨 있습니다.
기반은 무사했지만 그 위에 작동하는 것은 별개의 문제입니다.
예를 들어, 구글 클라우드(Google Cloud)는 10 월 21 일 공식 블로그에서 다음과 같이 설명했습니다.
Google Cloud 자체는 취약점이 없으나, Google Cloud 상에서 PHP 를 실행하는 이용자는 취약점을 가질 수 있습니다.
이에 따라 Google Cloud 에서 PHP 애플리케이션을 실행 중인 이용자는 수정된 PHP 를 즉시 업데이트하고 서비스를 재배포 (재설치) 하도록 권고하고 있습니다. 일부 서비스에서는 애플리케이션이 자동으로 업데이트되지 않는 경우도 명시하고 있습니다.
즉, 클라우드 기반 자체가 안전하더라도 그 위에서 사용자가 실행 중인 PHP 는 사용자가 스스로 업데이트하지 않으면 위험한 상태로 남을 수 있습니다.
대규모 클라우드를 사용한다고 해서 무조건 괜찮다고 단정할 수는 없습니다.
Google Cloud 블로그 | CVE-2026-109618 및 CVE-2026-109619 핵심 PHP 취약점 대응
본사의 서비스는 무사히 운영되더라도 외부에 맡긴 부분은 별개의 문제입니다.
또 하나의 사례로, 잃어버린 물건 클라우드 'Find'를 제공하는 주식회사 'Find'(이하 Find 사)의 발표를 살펴보겠습니다.
회사 측은 10 월 22 일, find, find chat, find return 제공과 관련된 시스템 및 관련 인프라는 PHP 를 사용하지 않아 이번 취약성에 영향을 받지 않았다고 발표했습니다.
한편, 같은 발표에서 일부 웹사이트는 코퍼레이트 사이트 등을 외부 웹사이트 제작 및 운영 서비스를 활용해 운영하고 있음을 명확히 밝히고 있습니다. 해당 서비스 제공자는 예방적 조치를 취했으며, 10 월 22 일 완료되었다고 공표된 것으로 알려졌습니다.
물론, 이는 Find 사의 사이트가 공격되었다는 이야기도 아닙니다. 오히려 자체 서비스와 외부에 맡긴 사이트를 구분하여 각각의 상황을 설명한, 매우 세심한 발표라고 생각합니다.
제안하고 싶은 점은 본사 서비스와 외부 사업자에서 운영하는 사이트 간 관리 체계가 다르다는 점입니다.
참고: 주식회사 find|PHP 취약점과 관련하여 우리 회사의 서비스에 미친 영향에 대해
이것은 많은 기업에 해당되는 이야기입니다.
이 두 발표는 많은 기업에 해당되는 이야기일 것입니다.
- 본사 웹사이트
- 문의하기
- 예약 시스템
- 결제 서비스
- 업무에서 사용하는 클라우드 서비스
이러한 것들을 모두 자체 개발하고 운영하는 기업은 오히려 적은 수일 것입니다.
그렇다면 본사의 주요 시스템이 안전하다고 하더라도, 그것만으로는 '우리사는 무방하다'고 단정할 수 없습니다.
확인해야 할 사항
그렇다면 기업이나 개인사업자가 확인해야 할 사항은 무엇일까요. 저의 생각에는 적어도 다음 세 가지 관점이 필요합니다.
우리가 직접 관리하는 시스템이 업데이트되었나요?
PHP 를 사용하고 있는지 확인하고, 사용 중이라면 해당 취약점에 대응하기 위해 업데이트가 적용되었는지 확인하세요.
먼저, 우리가 직접 관리하는 범위부터 확인해 보겠습니다.
클라우드 위에서 우리가 제어하고 있는 것이 업데이트되고 있는지
클라우드 기반 자체는 제공사가 관리하지만, 그 위에서 실행 중인 애플리케이션까지 자동으로 업데이트되지는 않습니다.
제공자의 책임이 어디까지이고, 우리 자신의 책임이 어디부터 시작되는지. 이번과 같은 기회를 통해 다시 한번 명확히 정리해 두는 것이 중요합니다.
3. 외부에 맡긴 부분에는 어떤 대응이 이루어지고 있는가
웹 제작사, 운영 위탁 대상, 클라우드 서비스 제공자.
외부에 맡긴 부분에 대해 어떤 대응이 취되었는지.
공식 발표를 확인하거나 필요시 문의하여 상황을 파악해 두세요.
후편으로 이어집니다: "영향이 없다"라는 한 마디 말 이후까지
이번 PHP 논란으로 인해 영향을 받을 수 있는 시스템의 정지 및 수정이 진행되고 있으며, 일부 기업은 자체 기반과 서비스에 영향이 없다고 발표하기도 했습니다.
다만, 그 '영향 없음' 발표에는 중요한 정보가 담겨 있었습니다. '동작하는 것은 사용자가 업데이트해야 한다', '외부에 위임된 부분은 별도의 관리 체계에 있다'는 점 등이 그 예입니다.
직접 관리하는 영역만 살펴보면 업무 전반의 리스크를 파악할 수 없습니다.
그리고 사실, 지금의 시대에는 확인해 두어야 할 또 다른 '외부와의 연결'이 있습니다.
AI 입니다.
평범한 업무에서 AI 에 웹 검색이나 정보 수집을 맡기는 경우가 많지 않습니까? 그 AI 가 외부 사이트에서 정보를 가져올 때, 해당 사이트 자체가 조작되었다면 어떻게 될까요?
후편에서는 이 'AI 가 외부 정보를 수용할 때의 위험'에 대해 논의합니다.
관련 글
【PHP 혼란 해설: 후편】AI 가 정보를 어디에서 얻고 있나요? php2shell 사건을 통해 AI 가 외부 정보를 수집할 때의 위험성👉 https://note.com/leotimez555/n/n9dd1ce6f17f4
【3 분 만에 알 수 있는】JPCERT/CC 주의보 | 10 월 23 일 업데이트, 위험 요소는 무엇이며 무엇을 해야 할까요?👉https://note.com/leotimez555/n/n33d9b9e6c62a
출처: note 원문
번역: Qwen 3.5(.48) 초벌 + 교정 44청크
원문 보기 | 출처: note.com