PHP2Shell 대응을 돌아보며 - 코드몬 Product Team Blog

무슨 일이 있었나요?

코도몬은 어린이집과 학교에서 쓰는 소프트웨어 서비스를 운영하는 일본 회사입니다. 2026년 10월 21일 낮에 대부분의 서비스를 일시 중단했습니다. PHP라는 인기 프로그래밍 언어에서 발견된 심각한 보안 구멍 'PHP2Shell'에 대비한 조치였습니다. 회사는 나중에 이 대응을 돌아보며, 데이터를 지키려고 멈췄고 공격이나 정보 유출은 확인되지 않았다고 밝혔습니다. 다만 갑작스러운 중단이었다고 인정하며 학교, 학부모, 파트너에게 불편과 짧은 공지에 대해 사과했습니다.

주요 숫자와 사실

• PHP의 이 구멍은 10점 만점에 9.2점으로, 가장 높은 '심각(Critical)' 등급입니다.
• 관련 보안 번호(CVE)는 CVE-2026-109618과 CVE-2026-109619 두 개입니다.
• PHP 팀은 일본 시간 새벽 4시 33분에 이 구멍을 공개했고, 같은 날 밤 11시에 수정 버전을 내놓을 계획이었습니다.
• 대부분의 서비스는 10월 22일 새벽 3시 22분에 복구되었습니다. 일부는 더 늦게 돌아왔습니다.
• 출결 알림 기능은 10월 23일 오전 9시에 다시 열렸습니다.

왜 이런 결정을 했을까요?

보통 심각한 구멍을 고칠 때는 수정 버전과 자세한 설명을 같은 시간에 공개합니다. 그래야 회사들이 바로 고칠 수 있습니다. 이번에는 수정 버전이 준비되기 전에 자세한 내용이 온라인에 퍼졌습니다. 일부 보안 회사는 문제를 직접 재현했다고 말하기도 했습니다. 코도몬은 아직 고칠 수 없는데 공격의 단서는 이미 공개된 상태였습니다. 그래서 낮 동안 서비스를 멈추기로 했습니다.

왜 중요한가요?

이 이야기는 기업이 겪는 어려운 선택을 보여 줍니다. 회사는 아이들과 가족의 데이터를 지켜야 하지만, 학교의 일상 업무를 위해 서비스도 계속 돌려야 합니다. 이번 중단으로 학부모와 교사는 기록, 메시지, 결제 기능을 오랫동안 쓰지 못했습니다. 회사는 더 일찍 알렸어야 했다고 말했고, 비슷한 문제를 겪는 다른 팀이 배울 수 있도록 교훈을 공유했습니다.

앞으로 지켜볼 점

• 검토 후 코도몬이 데이터 유출이 없었다고 공식 확인하는지 여부
• 회사가 앞으로 긴급 상황에 대비한 계획을 어떻게 바꾸는지
• PHP가 수정 버전 출시 전에 보안 세부 내용을 공유하는 방식을 바꾸는지 여부