이틀 새 이어진 PHP·Node.js·GitLab 취약점 소식

21일 밤 공공AX 네트워크에 한 줄이 올라왔다. 한 참가자가 Node.js 보안패치를 업데이트하라고 알렸고, 곧이어 보안취약점 이슈가 있다고 덧붙였다. 이 소식은 하루가 지나도 끝나지 않았다. 22일 낮과 밤에 PHP, GitLab, nginx 이야기가 차례로 올라왔다.

이 글의 취약점 번호, 영향 범위, 경보 수준은 대화방에 공유된 글의 내용을 옮긴 것이며, 이 기사가 따로 확인한 사실이 아니다.

국내 이슈가 아니라던 반응에서 긴급 당부까지

처음 반응은 거리를 둔 쪽이었다. 한 민간 참가자는 PHP 건을 두고 국내에서는 아직 이슈가 아닌 것 같고 해외에서 뜨겁다고 했다.

Php 국내에서는 아직 이슈가 아닌것같은데 외국쪽에서는 엄청 핫하네

같은 날 밤 권고를 올렸던 참가자는 곧바로 자기 기관의 웹사이트는 안전할지 물었다. 22일 아침에는 개발자로 보이는 다른 참가자가 PHP를 쓰는 기관이 없느냐며, 급하게 패치가 나왔다고 알렸다.

22일 낮 12시를 지나 정부 명의로 보이는 긴급 보안조치 당부문이 대화방에 올라왔다. 올린 참가자는 글이 잘려 다시 올린다며 중복을 사과했다. 공유된 글에 따르면 PHP에서 심각한 취약점 두 건이 발견됐다.

웹서비스에 널리 사용되는 PHP에서 심각한 보안 취약점 2건이 발견됐습니다.

같은 글은 업데이트가 어려우면 외부 접속 차단이나 서비스 중단도 검토하라고 했고, 민간 분야 사이버위기 경보를 이날 낮 12시부터 관심에서 주의로 올렸다고 적었다. 이어서 20분쯤 뒤 대화방에서는 보안경고가 여기저기 나온다는 말이 오갔다.

깃랩 안내문과 패치 확인

권고를 거듭하던 참가자는 22일 오전 도구 업데이트를 다시 강조했다.

어제부터 계속 보안취약점 이슈가 터지고 있습니다. 사용하시는 코딩툴, 프로그램 등 보안패치 업데이트 필수로 하셔야 합니다.

곧 같은 참가자가 GitLab 패치 안내 링크를 올리며 깃랩에도 취약점이 터졌다고 했다. 뒤이어 같은 참가자가 올린 긴 글은 공공기관이 쓰는 공용 깃랩의 버전을 확인했다고 주장했다. 이 글에 따르면 해당 버전은 아래 취약점을 포함한 12건의 영향 대상이었다. CVSS는 취약점 위험도를 0에서 10까지 매기는 점수라는 것은 이 글의 풀이이며, 대화에는 설명이 없다.

비인증 원격 코드 실행 취약점 CVE-2026-110264(CVSS 10.0)를 포함한 12건의 영향 대상입니다.

글은 19.4.3 이상으로 올리고 침해 시도를 점검하라고 권했다. 이 버전 확인은 올린 참가자의 주장이며, 이 기사가 따로 확인하지 못했다. 이보다 조금 앞서 다른 참가자 한 명이 공용 깃랩은 괜찮겠지요라고 물었다. 글을 올린 참가자는 곧이어 공용 깃랩 담당자가 대화방에 있는지 찾으며 조치하고 계시겠지라고 덧붙였다. 같은 날 오후 같은 참가자는 공용 깃랩 보안패치가 완료된 것을 확인한 듯 반응했다. 완료 소식의 출처는 대화에 적혀 있지 않다.

오 공공깃랩 보안패치 완료됐군요

기관마다 달랐던 체감

기관이 PHP를 얼마나 쓰는지에 대해서는 몇 마디가 오갔다. 21일 밤 한 참가자는 기관은 자바 기반 공공 개발 표준 때문에 PHP가 거의 없을 것이라고 했다. 22일 낮에 권고를 올리던 참가자가 자바에도 무언가 있다고 하자, 이 말은 PHP만의 문제가 아니라는 인상을 더했다.

한 공공기관 참가자는 IDC(전산센터를 뜻하는 것으로 읽히며 이 글의 풀이다)에서도 조치 권고 메일이 날아온다고 했다.

저희 IDC에서도 조치권고 메일날라오고 난리네요

22일 밤에는 한 참가자가 PHP 취약점을 노린 대규모 공격이 진행된다고 한다는 말을 전했는데, 출처는 대화에 나오지 않는다. 이어 다른 참가자는 카페24는 안정화가 끝났다고 했지만, 이는 한 참가자의 말일 뿐 확인된 바 없다.

맥락 해석

한 개발자 참가자는 이번 이슈가 취약점 자체보다 패치 전 내역이 공개됐다는 점이 문제라고 짚었다. 이 발언은 패치 공개 이후의 대응 시점이 걱정거리였음을 시사한다.

대화방에서는 개인 프로젝트의 도구부터 기관 서버, 공용 깃랩까지 점검 대상이 한꺼번에 불려 나왔다. 참가자 몇 명의 경험과 전해 들은 글에 기댄 것이어서, 국내 전체 상황으로 받아들이기는 어렵다. 다만 하루 새 PHP, Node.js, GitLab, nginx가 연달아 거론되며 패치 여부를 서로 묻는 분위기가 이어졌다는 점은 확인된다.