수백 개 서비스, 여전히 재개 기다려
일본에서 심각한 PHP 보안 취약점 두 건에 대응하는 과정에서 웹사이트와 온라인 서비스 최소 1,090곳이 중단됐으며, 2026년 10월 26일까지 수백 곳은 재개를 발표하지 않았다. 운영업체들이 보안 업데이트를 적용하고 시스템을 안전하게 다시 연결할 수 있는지 확인하면서 온라인 쇼핑, 금융 계좌 관련 절차, 보육 서비스와 게임까지 차질이 확산됐다.
목차
클라우드 서비스 보안 평가 정보를 제공하는 도쿄 소재 기업 어슈어드는 10월 26일 오후 3시 기준 서비스 1,090곳이 중단된 것으로 집계했다. 공식 X 계정에 게시된 중단 공지를 주로 분석한 결과다. 집계치는 10월 23일 오후 2시 기준 502곳에서 약 3일 만에 588곳, 약 117% 증가했다.
어슈어드는 이 가운데 465개 서비스의 재개 공지를 확인하지 못했다. 집계된 중단 서비스의 약 43%에 해당한다. 이 수치는 공개 공지를 바탕으로 한 것이므로, 해당 465개 서비스의 최신 상태는 운영업체를 통해 확인해야 한다.
반다이남코홀딩스는 10월 21일 저녁부터 점검에 들어간 완구 및 기타 상품 온라인 매장을 10월 27일 정오에 재개할 예정이라고 밝혔다. 태고의 달인 등 아케이드 게임의 온라인 연결은 계속 중단된 상태였다. 다이와증권은 웹사이트 일부 기능을 복구했지만, 10월 26일 오후 5시 기준 NISA 투자 계좌 개설 신청과 주소 변경 등 절차는 여전히 이용할 수 없었다.
PHP2shell 취약점의 위험
일본 정보처리추진기구(IPA)는 10월 22일 PHP 보안 경보에서 취약점을 CVE-2026-109618과 CVE-2026-109619로 식별했다. 두 취약점의 조합은 PHP2shell로 불린다. PHP는 많은 웹사이트와 웹 애플리케이션을 구동하는 소프트웨어로, 정보가 사용자의 브라우저에 도달하기 전에 서버에서 처리하는 데 쓰인다.
CVE-2026-109618은 PHP의 메모리가 부족해졌을 때 오류를 처리하는 과정과 관련이 있다. CVE-2026-109619는 서버로 전송된 요청을 처리하는 과정과 관련된다. 이 취약점을 악용하면 원격 공격자가 임의의 코드를 실행할 수 있다. 이는 웹사이트 운영자가 아닌 공격자가 선택한 명령을 실행할 수 있다는 뜻이다.
일본의 컴퓨터 보안 사고 대응 조정기관인 JPCERT/CC는 해당 코드가 PHP 프로세스에 부여된 권한으로 실행될 수 있다고 밝혔다. 쉽게 말해 공격자가 웹사이트를 구동하는 소프트웨어가 수행할 수 있는 작업을 실행할 수 있다는 것이다. 실제 영향 범위는 해당 시스템의 권한과 설정에 따라 달라진다.
IPA는 PHP가 더 큰 애플리케이션이나 서비스의 일부일 수 있으므로 사용 중인 제품의 개발사나 공급업체가 제공하는 정보를 확인해야 한다고 밝혔다. JPCERT/CC도 소프트웨어 제품이나 리눅스 배포판을 통해 제공되는 PHP 역시 영향을 받을 수 있다며, 대응 과정에서 공급업체의 안내를 확인해야 한다고 경고했다.
서비스 중단의 확산 경위
보안 업데이트가 일본 시간으로 오후 11시께 제공되기 전인 10월 21일부터 운영업체들이 시스템을 오프라인으로 전환하기 시작했다. 취약점에 관한 공개 정보가 공격 위험을 키울 수 있어, 업데이트가 나오기 전 선제적으로 대응한 곳도 있었다.
긴급 소프트웨어 업데이트가 며칠간의 서비스 중단으로 이어진 과정은 다음과 같다.
- 10월 21일: BASE, 코도몬, 픽시브, DMM.com, 니코니코와 사쿠라인터넷 일부 서비스가 점검에 들어가거나 기능을 중단했다. 그랑블루 판타지와 우마무스메 프리티 더비 등 게임도 일시 중단됐다.
- 10월 21일 오후 9시 55분: 다카이치 사나에 총리는 패치 적용을 위한 긴급 준비를 촉구하고, 즉시 설치하기 어려운 경우 웹사이트를 일시 중단하는 방안도 가능하다고 밝혔다.
- 10월 21일 오후 11시께: PHP 보안 업데이트가 공개됐다.
- 10월 22일: IPA와 JPCERT/CC가 취약점과 권고 대응책을 설명하는 경보를 발표했다.
- 10월 23일: 어슈어드의 서비스 중단 집계가 502곳에 이르렀다. PHP 개발진은 또 다른 취약점인 CVE-2026-115560도 공개했다.
- 10월 26일: 어슈어드 집계가 1,090곳으로 늘었고, JPCERT/CC는 악용 시도 제보를 반영해 경고를 갱신했다.
- 10월 27일 정오: 반다이남코는 완구 및 기타 상품 온라인 매장을 재개할 예정이라고 밝혔다.
웹사이트 오프라인 전환이 선택지가 된 이유
일본 국가사이버통괄실은 운영업체가 패치를 신속히 설치할 수 없는 경우 웹사이트를 일시 중단하면 위험을 줄일 수 있다고 권고했다. 다카이치 총리도 10월 21일 호소에서 이 방안을 거듭 언급했다. 유럽연합 사이버보안 사고 대응팀(CERT-EU)과 영국 국가사이버보안센터도 조치를 촉구하고, 보호 조치가 마련될 때까지 시스템을 오프라인으로 전환하는 방안을 제시했다.
IPA의 지침은 대응 방안을 단계별로 제시한다. 조직은 업데이트나 이전을 준비하는 동안 임시 보호 조치와 접근 제한을 먼저 검토해야 한다. 효과적인 임시 조치가 어렵다면 예상되는 피해와 업무 차질을 고려해 외부 접근을 차단하거나 서비스를 중단할지 판단해야 한다.
이 결정으로 고객은 운영업체가 대응하는 동안 일상적인 기능을 이용하지 못하게 됐다. 쇼핑 사이트는 주문을 받지 못하고, 금융 웹사이트는 계좌 관련 절차를 중단할 수 있으며, 아케이드 게임기는 온라인 기능 연결이 끊길 수 있다.
어슈어드의 조사를 이끈 스즈키 야스히로는 고객 정보를 보호하기 위해 서비스를 중단하는 운영업체가 늘고 있으며, 서비스 복구가 더딘 점은 안전하게 재개하기가 얼마나 어려운지를 보여준다고 말했다. 그의 평가는 핵심적인 운영상 문제를 짚는다. 접근 차단은 신속하게 할 수 있지만, 서비스를 복구하려면 근본적인 조치를 완료해야 한다.
패치 적용만으로 재개할 수는 없어
반다이남코의 사례는 같은 기업집단 내 서비스도 재개 시점이 다를 수 있음을 보여준다. 그룹은 상품 매장을 10월 27일 재개할 예정이었지만, 아케이드 게임 연결은 중단된 상태였다. PHP 패치를 설치하는 데 필요한 시스템 업데이트에 시간이 걸리고 있었다.
일부 서비스는 안전성을 확인한 다른 회사의 서버로 데이터를 일시 이전하는 방안도 검토했다. 영향을 받은 환경을 정비하는 동안 서비스가 운영되는 장소를 바꾸는 것으로, 고객이 다시 이용할 수 있게 하기까지 추가 준비가 필요하다.
다이와증권은 자주 묻는 질문을 포함해 웹사이트 일부를 복구했지만, 10월 26일에도 계좌 신청과 주소 변경은 이용할 수 없었다. 정보 안내 페이지가 정상 작동하는 한편 고객 관련 절차는 중단된 상태였다.
IPA는 오랫동안 업데이트되지 않은 시스템의 경우 PHP 업데이트 후 애플리케이션 코드를 수정하고 기능이 정상 작동하는지 점검해야 할 수 있다고 설명했다. 개발 문서가 없거나 시스템을 잘 아는 직원이 없고 유지보수 계약이 만료된 경우 작업은 더 어려워질 수 있다. JPCERT/CC는 충분한 테스트를 거친 뒤 수정 버전을 신속히 설치할 것을 권고한다.
주의가 필요한 버전은?
IPA와 JPCERT/CC는 최초의 두 취약점을 해결한 PHP 버전으로 8.2.35, 8.3.36, 8.4.27, 8.5.12를 제시했다. 각 버전 계열에서 이보다 이전에 나온 버전은 영향을 받는다. 운영업체는 시스템에서 사용하는 PHP 계열에 맞는 수정 버전을 적용하고 소프트웨어 또는 운영체제 공급업체의 안내를 확인해야 한다.
구형 설치 환경은 또 다른 문제를 낳는다. IPA가 인용한 보안업체 위즈의 조사에 따르면 PHP 5.4 이후 버전은 두 취약점 중 최소 하나의 영향을 받는다. PHP 8.1 및 이전 버전은 지원이 종료돼 지원 대상 버전에 제공되는 일반 유지보수를 더 이상 받을 수 없다.
IPA는 수정 버전을 구할 수 없는 경우 지원 대상 PHP 버전이나 보호 조치가 마련된 제품 및 서비스로 이전할 것을 권고한다. JPCERT/CC는 취약점의 심각성을 고려해 PHP 개발진이 PHP 7.4, 8.0, 8.1에 제한적인 완화 조치를 제공했다고 덧붙였다.
임시 완화 조치는 특정 공격 경로를 통한 노출 위험을 줄인다. JPCERT/CC는 최초 취약점에 대한 해결책은 업데이트라고 밝혔다. 따라서 임시 설정을 적용한 조직도 시스템에 필요한 소프트웨어 업데이트나 이전을 계획해야 한다.
공격 시도가 긴급성 높여
JPCERT/CC는 10월 26일 PHP 취약점 권고문을 갱신하면서 취약점 악용을 주장하는 시연 코드가 다수 공개됐다고 밝혔다. 취약점을 악용하려는 네트워크 트래픽이 반복적으로 관측됐다는 제보도 언급했다.
이러한 코드가 실제로 작동하는지는 PHP 버전, 실행 환경, 메모리 내 데이터 배열 등 여러 요인에 따라 달라진다. JPCERT/CC는 새로운 공격 방식과 특정 환경을 겨냥한 기법이 등장할 수 있다고 경고하며, 업데이트와 침해 여부 조사를 모두 권고했다.
조사 지침에는 브라우저 세션을 식별하는 데 필요한 정보를 담은 PHPSESSID 쿠키가 비정상적으로 길거나 형식이 이상하지 않은지 확인하는 내용이 포함됐다. 또 다른 징후로는 업로드에 흔히 쓰이는 multipart/form-data 형식의 의심스러운 요청이 있다. 특히 메모리 한도 오류나 서버 문제를 나타내는 HTTP 500 오류가 발생한 시점과 가까운 요청을 살펴야 한다.
PHP 작업자 프로세스가 예기치 않게 중단되거나 자주 재시작되는지도 확인해야 한다. 작업자 프로세스는 들어오는 작업을 처리한다. JPCERT/CC는 의심스러운 프로세스와 외부 통신, 새로 생성된 파일을 확인하고 지속적으로 모니터링할 것도 권고한다. 침해가 의심되면 로그와 기타 증거를 보존하고, 영향을 받은 영역을 조사하며 필요에 따라 시스템을 격리하라고 조언했다.
세 번째 취약점은 설정 변경 필요
PHP 개발진은 대응이 진행 중이던 10월 23일 CVE-2026-115560을 공개해 추가 조치가 필요해졌다. JPCERT/CC에 따르면 특정 설정과 애플리케이션 코드가 조합된 경우 이 취약점으로 임의 코드 실행이 가능하다.
개발진은 영향을 받는 설정이 흔치 않다고 설명하고 정기 릴리스 일정에 따라 수정 버전을 제공할 계획이라고 밝혔다. 해당 버전이 나오기 전까지 JPCERT/CC는 session.upload_progress.enabled=0으로 설정하고 모든 작업자 프로세스를 재시작하라고 권고했다. 10월 26일 갱신된 안내에는 수정 버전의 출시일이 명시되지 않았다.
같은 설정은 이미 CVE-2026-109619의 완화 조치로 권고된 바 있다. 권고에 따르면 이를 적용한 운영업체는 설정을 다시 변경할 필요가 없었다. 각 팀은 시스템을 점검할 때 최초의 두 취약점과 추가 취약점까지 고려해야 한다.
일부 조직은 더 큰 결정을 앞둬
IPA의 권고는 당장의 복구를 넘어선다. 조직은 시스템이 여전히 어떤 역할을 하는지, 얼마나 많이 사용되는지, 다른 서비스로 대체할 수 있는지를 검토해야 한다. 유지보수 없이 운영된 소프트웨어라면 서비스를 복구한 뒤 누가 지원할지 결정해야 할 수도 있다.
IPA는 기술 인력뿐 아니라 경영진과 임원도 업데이트나 이전, 지속적인 운영에 필요한 인력과 예산, 유지보수 체계를 마련할 수 있는지 평가해야 한다고 밝혔다. 필요한 지원이 가능하다면 업데이트를 진행하거나 보호된 서비스로 이전할 것을 권고했다.
지속적인 유지보수 체계를 마련할 수 없다면 다른 방안도 있다. IPA는 지원되는 제품으로 이전하거나 기능을 줄이고, 외부 공개를 중단하거나 시스템을 폐기하는 방안을 제시했다. 필요한 데이터를 보존하거나 이전하는 계획을 세우고 사용자에게 대체 방안을 안내해야 한다고도 밝혔다.
현재의 실질적인 과제는 특정 PHP 버전을 설치하는 일부터 고객이 이용하는 개별 기능을 복구하는 일까지 이어진다. 반다이남코의 매장 재개 예정은 일정이 정해진 복구 단계 중 하나다. 한편 어슈어드 집계에서 재개 공지가 확인되지 않은 465개 서비스는 10월 26일에도 공개 상태 확인이 얼마나 더 필요했는지를 보여준다.
핵심 내용
- 어슈어드는 10월 26일 오후 3시까지 일본에서 서비스 1,090곳이 중단된 것으로 집계했다. 10월 23일의 502곳에서 늘어난 수치다.
- 465개 서비스, 전체의 약 43%는 재개 공지가 확인되지 않았다.
- PHP2shell 취약점으로 원격 공격자가 PHP 프로세스의 권한으로 코드를 실행할 수 있다.
- 최초 두 취약점을 해결한 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12다.
- JPCERT/CC는 시연 코드 공개와 악용 시도 제보를 경고했다.
- 세 번째 취약점은 수정 버전이 준비될 때까지 임시 설정을 변경하고 모든 작업자 프로세스를 재시작해야 한다.
- 반다이남코는 상품 매장을 10월 27일 정오에 재개할 예정이었으며, 일부 아케이드 연결과 다이와증권의 절차는 10월 26일에도 중단된 상태였다.
