PHP 취약점 공격 시도 수백만 건, 바이낸스 창업자 CZ가 웹 이용 주의 경고

Coinbase와 BitGo, 노출 사실 없다고 밝혀

새로 공개된 PHP 취약점을 겨냥한 공격 시도가 수백만 건 규모로 늘어나면서, 주요 암호화폐 기업들이 10월 22일 자사 시스템의 피해 여부를 공식 입장으로 밝혔다. 조사 결과 Coinbase(COIN)와 BitGo는 인프라가 노출됐다는 증거가 없다고 확인했다. Binance는 공식 보안 패치가 배포되기 전에 이미 방어 조치를 적용했으며, 필요하다고 판단한 대응을 모두 마쳤다고 설명했다. 이 시점까지 암호화폐 기업 침해 사례나 사용자 자금 손실은 확인되지 않았다. 업계에서 CZ로 널리 불리는 Binance 공동창업자 창펑 자오(Changpeng Zhao)는 다가오는 며칠간 어떤 웹사이트를 방문하든 극도로 조심하라고 사용자들에 경고했다. 그의 우려는 보안 패치가 늦는 사이트가 로그인 정보 탈취나 방문자 기기 공격의 통로로 쓰일 수 있다는 점이다. 이번 경고의 중심에 있는 취약점은 공격자가 로그인 없이 서버에서 코드를 실행할 수 있게 하는 유형이다. PHP 개발팀은 10월 21일 수정 버전을 배포했지만, 설치는 결국 각 사이트 운영자가 직접 해야 한다. 인프라 관측 수치는 스캔 규모를 보여준다. Cloudflare는 공개 후 2시간 만에 시도 횟수가 수십만 건으로 치솟았고, 이후 수백만 건으로 늘었다고 기록했다. Amazon은 취약점이 공개되기 전인 10월 17일부터 이미 공격 시도를 관측했다고 밝혔다. 별도로 인도의 인증기관 eMudhra에서도 문제가 드러났다. 8개 중간 인증서의 개인키가 비정상적으로 약했고, 이 조합은 공격자가 거래소를 사칭하는 인증서를 위조할 수 있게 한다. 브라우저들은 해당 인증서 차단을 시작했으나, 자체 인증서 목록을 유지하는 거래 프로그램은 그렇지 않을 수 있다. Lightning Labs는 비트코인과 라이트닝 네트워크 소프트웨어 사용자에게 즉시 업데이트를 요청했다. 경고와 함께 유통되는 실전 가이드는 거래소에는 즐겨찾기로 저장한 공식 사이트로만 접속하고, 급하다는 식의 업데이트 팝업은 믿지 말며, 입금 전에 입금 주소를 저장해둔 주소와 반드시 대조하라고 권한다.

CVE-2026-109618과 CVE-2026-109619

이번 경고의 배경에는 웹 전반을 떠받치는 서버 언어인 PHP의 두 개의 심각한 결함이 있다. 모든 워드프레스 사이트를 포함해 웹의 상당 부분이 이 언어에 의존한다. 두 결함은 예정된 공개 일정보다 세부 정보가 먼저 유출된 뒤인 10월 21일 긴급 보안 배포로 수정됐다. 각각 CVE-2026-109618과 CVE-2026-109619로 추적되며, 둘 다 공격자의 로그인을 필요로 하지 않는다. CZ는 10월 21일 X에 글을 올려 자신을 편집증 환자로 부를 수 있지만 다가오는 며칠간 어떤 웹사이트를 방문하든 매우 조심해야 한다고 말했다. 일부 사이트 운영자는 보안 체계를 항상 최신으로 유지하지 않는다는 것이다. 그는 또한 두 결함에 대한 실제 악용이 공개 직후 현장에서 확인됐다고 덧붙였다. 한편 PHP 재단의 배포 설명은 한 지점에서 다른 서술을 한다. 재단 성명에 따르면 CVE 번호는 10월 20일 잘못된 배포 일정과 함께 온라인에 퍼지기 시작했고, 심각도가 10점 만점으로 발표됐지만 실제 점수는 9.2다. 취약점을 보고한 당사자 중 하나인 Calif는 악용 방법을 설명하는 영상을 실수로 공개했고, Chainguard는 합의된 시간보다 6시간 이상 앞서 수정 빌드를 배포했다. 재단은 업데이트가 배포되기 전에는 실제 악용이 관측되지 않았다고 밝히며 CZ의 이후 발언과 정반대 입장을 보였다. 정부 사이버 기관들도 움직였다. NSA는 PHP 사용자에게 업데이트를 준비하고, 즉시 패치가 어려우면 해당 시스템을 외부 접속에서 떼어두라고 권고했다. FBI 사이버국도 같은 권고를 반복하며 PHP 프로세스가 예기치 않게 시스템 명령을 여는지 감시하라고 운영자들에 요구했다. 암호화폐 플랫폼 가운데 BNB Chain의 Nina Rong은 네트워크 자체는 PHP를 사용하지 않는다고 확인했다. BNB Chain의 대형 DEX인 PancakeSwap은 자사 인프라에 PHP가 전혀 쓰이지 않으며 사용자 자금은 안전하다고 밝혔다. CZ는 그 성명을 재게시하며 대부분의 프로젝트가 최소한 이런 종류의 확인이라도 발표해야 한다고 언급했다.

@cz_binance · X 게시물

X에 글을 올려.

X에서 보기

패치에 앞선 유출

이 사건의 1차 문서인 PHP 재단의 배포 노트는 위험 구간을 정확히 짚어준다. 결함 세부 정보는 10월 20일부터 온라인에 유통됐고 수정본은 10월 21일에야 나왔다. 패치가 안 된 서버는 작동하는 악용 가이드가 공개된 상태로 하루 가까이 노돠 있었다. 발표된 심각도 10점과 실제 9.2 사이의 불일치, 그리고 6시간이나 앞당겨진 수정 빌드 배포까지 겹치면서 이번 사건은 평범한 패치 주기가 아니라 가시적으로 긴장이 드러난 조율된 공개 절차의 모습을 보여준다. 암호화폐 이용자의 잔여 노출은 헤드라인이 암시하는 것보다 좁다. 거래소 침해도 사용자 자금 손실도 아직 확인되지 않았다. 실질 위험은 침해된 사이트에서 일어나는 주소 바꿔치기이며, 하드웨어 지갑은 보내는 주소를 화면에 보여주더라도 해킹당한 웹사이트가 거짓 주소를 내걸었는지는 판단하지 못한다.