Trust Wallet, 심각도 9.2 PHP 취약점 영향 없다며 사용자 조치 불필요 공식 발표

Trust Wallet, PHP 위험 범위 자체 점검 결과 공개

Trust Wallet이 2026년 10월 22일 공식 입장을 내놓았다. 회사는 자사 지갑 애플리케이션과 핵심 인프라가 PHP로 구축돼 있지 않으며, 이번 주 공개된 PHP 심각 취약점의 영향을 받지 않는다고 밝혔다. 취약점 공개 후 하루 안쯤 나온 이 입장은 X의 공식 성명으로 게시됐다. PHP 문제가 알려진 뒤 암호화폐 커뮤니티에서 반복된 질문은 하나였다. 문제의 기술 스택에 암호화폐 지갑 제공사가 포함되는가였고, 회사의 답은 애플리케이션과 인프라 양쪽 모두 '아니오'였다. 성명에는 이렇게 적혀 있다. “최근 공개된 PHP 보안 취약점을 인지하고 있습니다. Trust Wallet의 지갑 애플리케이션과 핵심 인프라는 PHP로 만들어져 있지 않습니다. 사용자는 영향을 받지 않으며 별도 조치도 필요하지 않습니다.” 이어지는 안내도 명확하다. 자금 이동, 새 계정 생성, 추가 보안 절차 중 어느 것도 요구하지 않았고, 회사는 이 게시물을 사고 대응이 아닌 모니터링 업데이트로 규정했다. 다만 보증의 범위는 의도적으로 좁다. 성명이 다루는 것은 이번에 새로 공개된 PHP 취약점과 자사 애플리케이션·인프라의 관계까지이며, 지갑이 모든 공격으로부터 안전하다는 주장도, 사용자가 방문할 수 있는 다른 플랫폼에 대한 보증도 아니다. 사용자 피해 신고는 아직 없었고, 회사는 피해가 예상되지 않는 근거로 아키텍처상 사실을 제시했다.

CVE-2026-109618과 CVE-2026-109619

성명의 배경에는 2026년 10월 21일 공개된 PHP 심각 취약점 두 건이 있다. PHP는 웹의 상당 부분을 구동하는 서버 측 언어다. 두 취약점은 각각 CVE-2026-109618, CVE-2026-109619로 추적되며 CVSS 4.0 기준 10점 만점에 9.2점을 받았다. 특정 조건에서는 공격자가 취약한 서버에서 악성 코드를 원격으로 실행할 수 있다. 노출 대상은 보안 업데이트를 적용하지 않은 PHP 기반 웹 서버로, 해당 서버 설정에서는 WordPress, Magento 등 PHP 애플리케이션도 범위에 들어올 수 있다. 공개됐다는 사실이 곧 모든 PHP 사이트가 공격받았거나 사용자 데이터가 유출됐다는 뜻은 아니다. PHP 개발팀은 같은 날 수정판을 배포했으며, 8.2.35, 8.3.36, 8.4.27, 8.5.12가 패치 버전에 포함된다. 서버 관리자는 자신이 쓰는 버전의 패치 빌드나 배포판 보안 패키지로 업데이트해야 한다. 이런 상황에서 Trust Wallet이 자사 사용자에게 내린 안내는 이 취약점 때문에 지갑 교체, 자산 이체, 새 계정 생성이 필요 없다는 것이다. 회사는 일상 예방 수칙도 함께 강조했다. 인프라 위험이 배제된 뒤에는 핫월렛의 보안 부담이 상당 부분 사용자 행동에 달려 있기 때문이다. 보안 이슈가 터지면 가짜 고객지원 계정이 자산을 다른 지갑 주소로 옮기라는 유도를 하는 사례가 흔하다. 복구 문구는 어떤 사이트에도, 지원 요원을 자칭하는 누구에게도 공유해서는 안 된다. 지갑 연결을 요구하는 수상한 애플리케이션은 피하고, 서명 전에는 거래 승인 내역을 꼼꼼히 확인해야 한다. 강한 격리가 필요한 장기 보유 자산에는 콜드월렛이나 하드웨어 지갑이 후보다. 해당 방향을 검토하는 독자는 Cypherock X1 지갑 가이드에서 설정 방법을 확인할 수 있다. 회사는 마지막 유의점도 덧붙였다. PHP 취약점은 지갑 앱을 건드리지 않더라도 사용자가 방문하는 웹사이트에는 영향을 줄 수 있으므로, 이번 성명을 모든 암호화폐 플랫폼이 안전하다는 주장으로 읽어서는 안 된다는 것이다. 별도 연구도 계속되고 있다. DarkSword iPhone 익스플로잇은 아홉 개 지갑 앱에서 Trust Wallet 사용자를 겨냥한 것으로 문서화돼 있다.

남은 위험은 PHP가 아니라 피싱

우리의 판단은 이렇다. 이번 성명은 좁은 질문에는 답했지만 넓은 질문은 남겨둔다. 1차 기록인 회사의 공식 게시물은 Trust Wallet의 애플리케이션과 핵심 인프라만 다룬다. 검증되지 않은 부분은 다른 PHP 기반 서비스, 호스팅 업체부터 웹 애플리케이션까지 보유자가 의존하는 서비스가 취약점에 노출됐는지 여부다. 패치 배포로 관리자에게는 구체적 해법이 생겼지만, 패치하지 않은 서버가 여전히 명시된 위험이고 이 격차를 가늠한 기록은 아직 없다. 실전 관점에서 지금 더 현실적인 손실 경로는 코드가 아니라 행동이다. 이번 보안 소식을 인용해 이체를 재촉하는 피싱 메시지가 취약점 자체의 공격보다 먼저 보유자에게 닿을 것이다. 시장 반응은 지금까지 소란스럽지 않다. 실시간 모니터링 기준 TWT는 지난 24시간 동안 약 4.7% 하락했고, 보안 헤드라인을 시장 소식으로 읽는 보유자는 TWT 기술적 분석에서 구간별 맥락을 확인할 수 있다.