PHP 취약점을 트윗한 사람이 바로 이 사람인가. 진심으로 전 세계를 데스마치로 몰아넣은 사람으로 후세에 전해질 것 같다

무슨 일이 있었나

PHP는 많은 웹사이트가 쓰는 프로그램 언어입니다. 이번에 아주 심각한 보안 구멍 두 개(CVE-2026-109618, CVE-2026-109619)가 발견되었습니다. 원래는 발견자와 PHP 개발팀이 패치를 만든 뒤에 함께 공개하기로 약속되어 있었습니다. 그런데 정보가 미리 새어 나갔고, 연구자 한 명이 패치 전에 기술 세부 내용과 공격 시연 영상을 X(옛 트위터)에 올렸습니다. 이 때문에 공격자들이 패치가 나오기 전에 공격을 시작할 위험이 커졌습니다.

핵심 숫자와 사실

• 보안 점수(CVSS) 9.2로, 아주 위험한 등급입니다. 로그인 없이 원격으로 명령을 실행할 수 있는 취약점입니다.
• 발표 예정이던 긴급 패치 시간은 2026년 10월 21일 14:00(UTC)였지만, 정보가 새면서 일정이 앞당겨졌습니다.
• 일본에서는 pixiv, DMM, niconico 같은 큰 서비스가 긴급 점검이나 일시 중지에 들어갔습니다.
• 정보가 공개된 뒤 패치 전부터 실제 공격 시도가 관찰되었습니다.

왜 정보를 미리 공개하면 안 될까

보안 업계에는 '조정된 공개(coordinated disclosure)'라는 약속이 있습니다. 취약점 정보를 패치와 함께 정해진 날짜에 공개해서, 사용자가 대비할 시간을 주는 방식입니다. 이 날짜 전까지 정보를 숨기기로 한 약속을 엠바고(embargo)라고 부릅니다. 이번 일은 이 약속이 깨지면서 대비 시간이 거의 사라진 경우입니다.

왜 중요한가

인터넷 서비스 하나가 흔들리면 많은 사람의 생활이 불편해집니다. 이번에는 정보가 너무 빨리 퍼져서, 패치를 준비할 시간도, 사이트를 지킬 시간도 부족했습니다. 그래서 정보를 공개하는 방법과 타이밍이 얼마나 중요한지 다시 생각하게 만든 사건입니다. 또 SNS에서는 이 사람을 비난하는 목소리가 많이 나왔습니다. 하지만 공개한 사람이 어떤 의도였는지는 기사에서 명확하지 않습니다. 확실한 것은 정보가 너무 일찍 퍼졌다는 점입니다.

앞으로 지켜볼 점

• PHP 개발팀이 제공하는 패치를 빨리 적용하는 것이 가장 중요합니다.
• 정보를 먼저 올린 사람이나 관련 연구자들에 대한 추가 조사와 반응을 지켜볼 필요가 있습니다.
• 보안 업계가 취약점 공개 규칙을 어떻게 다듬을지 지켜볼 만합니다.