심각도 점수 9.2를 받은 PHP 보안 결함으로 블록체인 보안업체 SlowMist가 암호화폐 거래소, 탈중앙화 금융 플랫폼 및 지갑 제공업체에 인프라를 점검하고 긴급 업데이트를 설치하라고 촉구했다. PHP 개발자들은 영향을 받는 서버에서 인증되지 않은 공격자가 원격으로 코드를 실행할 수 있는 취약점 2건을 해결하기 위해 2026년 10월 21일 패치를 배포했다.
핵심 요약
- PHP는 CVSS 버전 4.0 기준 각각 9.2로 평가된 취약점 2건을 해결하기 위해 패치된 버전 4개를 출시했다.
- SlowMist는 암호화폐 기업에 웹사이트, 인터페이스 및 지원 인프라 전반에서 PHP 노출 여부를 조사하라고 촉구했다.
- 공격이 재현됐다는 사실만으로 주요 암호화폐 거래소나 DeFi 프로토콜에서 광범위한 침해 또는 손실이 발생했다고 볼 수는 없다.
목차
PHP 보안 결함으로 취약한 서버에 관심 집중
암호화폐 기업이 당면한 우려는 전통적인 웹 인프라다. 플랫폼 구성에 따라 PHP 백엔드가 침해되면 고객 정보, 관리 인터페이스, 인증 시스템 또는 운영 자격 증명이 노출될 수 있다.
SlowMist는 거래소, DeFi 프로젝트 및 지갑 제공업체에 영향을 받는 배포 환경을 파악하고 공식 패치를 적용하라고 촉구했다. 보도에 따르면 이 회사는 취약점 공개 이후 암호화폐 인프라 전반의 PHP 관련 노출을 조사하기 위해 MistEye 모니터링 시스템을 사용했다.
PHP 서버가 침해됐다고 해서 공격자가 자동으로 개인 키, 스마트 계약 또는 고객 자산에 접근할 수 있다는 뜻은 아니다. 결과는 민감한 시스템과의 연결 상태 및 공격자가 획득할 수 있는 권한에 따라 달라진다.
긴급 업데이트, PHP 릴리스 4개에 적용
CVE-2026-109618과 CVE-2026-109619는 각각 공통 취약점 평가 시스템(CVSS) 버전 4.0 기준 심각도 점수 9.2를 받았다. PHP 개발자들은 버전 8.5.12, 8.4.27, 8.3.36 및 8.2.35에서 이를 해결했다. 지원이 중단된 릴리스를 포함한 구버전도 취약할 수 있으며, 유지보수 중인 소프트웨어로 이전해야 한다.
CVE-2026-109618은 요청 정리 과정에서 메모리 부족을 처리할 때 발생하는 메모리 손상과 관련이 있다. CVE-2026-109619는 전역 상태가 이전 요청에서 사용된 메모리에 대한 참조를 유지하는 문제로, 해당 메모리가 재사용될 때 악용될 수 있다. 취약한 구성에서는 두 취약점 모두 원격 코드 실행을 허용할 수 있다.
PHP 프로젝트는 PHP-FPM, Apache mod_php, php-cgi, FrankenPHP 및 LiteSpeed를 사용하는 인터넷 연결 설치 환경이 잠재적으로 노출될 수 있다고 밝혔다. 특히 Apache mod_php는 연구자들이 애플리케이션 수준의 코드가 요청 처리를 시작하기 전에 코드를 실행할 수 있는 공격을 시연해 우려를 샀다.
긴급 업데이트는 사전 경고와 계획된 공개 전에 기술 세부 정보가 유통됐다는 보고에 뒤이어 나왔다. PHP 보안팀은 대체 완화책으로는 완전한 보호를 제공할 수 없다며 즉시 업데이트할 것을 촉구했다.
국제 경보, 노출과 확인된 손실을 구분
ENISA, CERT-EU 및 유로폴 유럽사이버범죄센터는 공동으로 조직들에 영향을 받는 시스템을 파악하고 업데이트를 적용하라고 권고했다. 영국 국가사이버보안센터는 노출된 시스템을 우선적으로 처리하고 즉시 수정할 수 없는 경우 일시적으로 종료하는 방안을 고려하라고 권고했다.
호주와 캐나다의 사이버보안 당국도 경고를 발표했다. 연구자들은 공격을 재현했으며 익스플로잇 정보도 공개적으로 유통됐지만, 현재까지 이용 가능한 증거로는 이 취약점에 직접 기인한 주요 암호화폐 거래소나 DeFi 프로토콜의 손실이 입증되지 않았다.
영향을 받는 운영자가 우선적으로 해야 할 일은 PHP 설치 환경을 찾아내고, 지원되는 패치 버전으로 업그레이드하며, 무단 접근 흔적이 있는지 시스템을 점검하는 것이다.
결론
이번 경고는 노출된 PHP 인프라에 패치를 적용하고 무단 활동 여부를 확인하는 데 초점을 맞추고 있다. 암호화폐 플랫폼에서는 구분이 여전히 중요하다. 악용 가능한 웹 서버는 심각한 위험을 뜻하지만, 자산 손실이 확인됐다는 증거는 아니다.
더 많은 뉴스 보기
면책 조항
이 FinanceVelix 기사는 일반적인 정보 제공을 목적으로 하며, 개인별 금융·투자·법률·세무 자문을 제공하지 않습니다. 시장 가격, 금리 및 경제 여건은 변할 수 있으며, 투자에는 손실 위험이 따릅니다. 사실관계는 게시 당시 이용 가능한 자료를 반영하며 이후 변경될 수 있습니다. 중요한 정보는 독립적으로 확인하고 필요하면 자격을 갖춘 전문가와 상담하세요. 자산, 회사 또는 서비스를 언급한다고 해서 이를 보증하는 것은 아닙니다.
