SlowMist, 비트코인(BTC) 플랫폼에 PHP 취약점 경고... 십점 만점에 9.2점

SlowMist, PHP 핵심 취약점 두 건 경고

블록체인 보안업체 SlowMist가 비트코인 디파이 플랫폼, 중앙화 거래소, 지갑 사업자까지 비트코인(BTC) 생태계의 주요 자산 보관 지점 전반을 겨냥한 긴급 경고를 발령했다. 문제의 대상은 세계 웹사이트 10곳 중 약 7곳이 사용하는 서버 측 언어 PHP에서 발견된 취약점 두 건으로, 두 건 모두 심각도 척도의 최상위에 놓였다. 각각 CVE-2026-109618, CVE-2026-109619로 분류된 결함은 보안팀이 위험도를 매기는 표준 체계인 CVSS 4.0 기준 십점 만점에 9.2점을 기록했다. 특정 조건이 충족되면 공격자는 인증 절차 전체를 우회해 취약한 서버에서 악성 코드를 실행할 수 있으며, 이는 서버가 기본적으로 갖춘 최초의 방어선을 무력화하는 결과다. 첫 번째 취약점은 서버의 메모리가 부족해지는 상황을 PHP가 처리하는 방식에서 비롯되고, 두 번째는 서버 요청 사이에서 유효성을 잃었음에도 여전히 읽힐 수 있는 메모리 데이터와 관련돼 있다. 공지문에 따르면 이 취약점이 성공적으로 악용되면 공격자가 서버 인프라를 조작하고 민감한 데이터에 접근할 수 있으며, SlowMist는 사용자 계정과 금융 거래를 24시간 처리하는 플랫폼에 특히 치명적이라고 평가했다. SlowMist는 취약점이 공개되자마자 자사의 위협 정보 체계 MistEye를 가동해 암호화폐 업계 전반의 PHP 기반 인프라에 대한 전 지구 스캔을 시작했다고 밝혔다. 스캔 대상에는 비트코인 거래소와 알트코인 거래소, 지갑 백엔드, 관련 서비스가 포함된다. 노출 범위는 온체인 밖 구성 요소까지 확장된다. 한 네트워크에 Bitcoin (BTC)를 보관하고 다른 네트워크에서 자산을 발행하는 크로스체인 브리지는 정확히 이번 취약점이 겨냥하는 상시 가동 서버 구조 위에서 운영되기 때문이다. 다만 공지문은 중요한 경계 하나를 긋고 있다. 비트코인 네트워크 자체는 PHP를 사용하지 않으므로 이번 보고는 비트코인 가격이나 프로토콜의 정산 규칙에는 영향을 주지 않으며, 위험은 사용자 코인을 보관하는 회사와 서비스 측에 존재한다.

PHP 보안 패치 10월 21일 배포

PHP 개발진은 10월 21일 두 취약점에 대한 수정 사항을 배포했으며, 지원되는 네 개의 버전 브랜치에 걸쳐 8.5.12, 8.4.27, 8.3.36, 8.2.35의 패치 빌드를 내놓았다. 네 빌드 모두 동일한 두 가지 수정 사항을 담고 있어 관리자는 버전 마이그레이션 없이 해당 브랜치 안에서 패치된 릴리스로 업그레이드만 하면 되고, 지원되는 어떤 PHP 버전 계열도 수정 없이 남지 않는다. 언어 유지보수진은 패치와 함께 운영상 경고도 덧붙였다. 접근 제한이나 임시 완화 조치만으로는 부족하며 종합적인 보호를 위해 업데이트 적용이 필수라는 것이다. SlowMist도 같은 입장을 반복하며 비트코인 인프라를 운영하는 기업들에게 구체적인 점검 목록을 제시했다. 서버에서 구동 중인 PHP 버전을 확인하고, 공개 인터넷에서 도달 가능한 시스템을 우선순위로 삼고, 보안 업데이트를 지체 없이 설치하라는 권고다. 순서가 중요한 이유는 업계 전반의 노출 정도가 고르지 않기 때문이다. 거래소의 외부 공개 API 게이트웨이는 내부 보고 도구보다 공격 표면이 훨씬 넓으며, MistEye 스캔은 바로 이 구분, 즉 어떤 암호화폐 서비스가 PHP를 인터넷에 노출하는지 여부를 파악하도록 설계됐다. SlowMist의 가이드는 인터넷에 도달 가능한 시스템을 첫 번째 패치 대상으로 삼고 나머지를 도달 가능성 순으로 처리하도록 안내한다. 공지문의 정리에 따르면 패치되지 않은 서버가 악용되면 사용자 잔고와 거래 처리의 기반이 되는 인프라가 침해될 수 있어 대응 기한은 주 단위가 아닌 일 단위로 잡힌다. 비트코인을 보관하는 플랫폼의 준법팀에는 버전 숫자가 간단한 감사 기준이 된다. 자기 브랜치에서 8.2.35보다 오래된 빌드를 구동 중인 서버는 다음 근무 세션이 끝나기 전에 조치가 필요하다.

보관 서비스가 위험 축, 비트코인 네트워크는 아님

이번 공개에 대한 우리의 판단은 이렇다. 보유자 코인에 닥치는 위험은 제3자 서버를 거쳐 온다. 비트코인 프로토콜 자체가 아니며, 자기 보관 사용자는 이번 영향 범위 밖에 위치한다. 비트코인 채굴 사업자 역시 채굴 인프라가 PHP 웹 구조에 의존하지 않으므로 즉각적인 범위 밖이다. 가장 노출된 자산은 위탁형 상품이며 그중에서도 Wrapped Bitcoin 토큰이 대표적이다. 담보 무결성이 발행사 서버의 안전에 달려 있기 때문이다. 시장은 이번 공개를 지표 방향의 사안이 아닌 운영 리스크로 받아들였다. 비트코인은 이달 초 10월 반등장에서 주간 고점 8만 5,000달러 부근을 기록했다. 이 소식이 심리에 영향을 주는지 추적하는 투자자는 우리의 비트코인 기술적 분석을 참고할 수 있다. 위험이 실현되려면 하나의 전제가 성립해야 한다. 암호화폐 플랫폼의 패치되지 않은 인터넷 노출 PHP 서버가, 운영자가 10월 21일 패치를 설치하기 전에 발견되고 악용되어야 한다.