PHP 취약점 코도몬 전 서비스 중단 이유, 오늘 밤 11시 패치 총정리

2026년 10월 21일 | 일본 | 과학 & 기술

PHP 취약점 2건이 오늘 일본 인터넷을 흔들고 있습니다. PHP 개발팀이 CVSS 9.2짜리 위험한 결함 두 개를 예고했고, 일본 시각으로 오늘 밤 11시에 긴급 수정판이 나옵니다. 어린이집 연락 앱 코도몬은 이에 대비해 전 서비스를 먼저 멈췄습니다.

왜 이렇게까지 하는지, 내 서비스는 어떻게 해야 하는지를 아래에서 차근차근 정리했습니다.

📌 30초 요약

• PHP 보안팀이 CVE-2026-109618, CVE-2026-109619 두 건을 예고했고 둘 다 CVSS v4.0 9.2입니다.
• 수정판은 일본 시각 10월 21일 오후 11시(UTC 14시) 공개 예정이며, 정보가 새면 앞당길 수 있습니다.
• 코도몬은 예방 차원에서 전 서비스를 멈췄고, 22일 이른 아침 재개를 목표로 합니다. 유출은 확인되지 않았습니다.

▲ PHP 프로그래밍 언어의 로고 (2024년 촬영 · 참고 이미지 · ⓒ Cvvaecc / Wikimedia Commons, CC BY 4.0)

PHP 취약점 두 건, 무엇이 알려졌나

지금까지 공식적으로 나온 정보는 많지 않습니다. 식별 번호는 CVE-2026-109618과 CVE-2026-109619, 점수는 둘 다 CVSS v4.0 기준 9.2로 위험도 최상급인 Critical 구간입니다.

정작 중요한 부분, 그러니까 어떤 버전이 영향받는지와 어떤 버전에서 고쳐지는지는 아직 비공개입니다. 수정판이 나올 때 함께 밝힌다는 게 PHP 팀의 입장입니다.

보안업체 watchTowr는 원격 코드 실행(RCE) 계열로 이해하고 있고, PHP 5부터 8까지 걸쳐 있다고 보는 것으로 전해졌습니다. 다만 이건 PHP 팀이 확인한 내용이 아닙니다. 같은 업체는 한 건을 재현했지만 패치 전에는 세부 내용을 공개하지 않겠다고 했고, 실제 공격에 쓰인 흔적은 아직 못 봤다고 합니다.

일본에서는 이 건에 GMO 계열 보안업체 Flatt Security가 붙인 별칭 php2shell이라는 이름도 돌고 있습니다. 검색창에서 php2shell을 치면 대응 지침 글이 나옵니다.

왜 오늘 밤 11시에 수정판이 나오나

공개 시각은 일본 시각 10월 21일 오후 11시, UTC로는 14시입니다. 해외 보도에서는 원래 일정이 하루 뒤였다는 이야기도 있어서, 일정이 한 번 당겨진 것으로 보입니다.

여기서 잠깐, 이상한 점이 있죠. 취약점 내용을 숨기면서 날짜만 예고하면 공격자에게 신호를 주는 건 아닐까요. 그런데도 PHP 팀이 미리 알린 이유는 단순합니다. 관리자들이 당일 바로 패치할 수 있게 준비할 시간을 주려는 겁니다.

대신 위험도 따라옵니다. 정보가 새거나 실제 악용이 확인되면 예고한 시각보다 먼저 수정판이 나올 수 있다고 PHP 팀이 밝혔습니다. 오늘 밤 11시를 느긋하게 기다리기보다 그 전부터 대기해 두는 편이 안전합니다.

▲ PHP 소스 코드를 편집기로 연 화면 (2015년 촬영 · 참고 이미지 · lmonk72 / Wikimedia Commons, CC0)

코도몬은 왜 전 서비스를 멈췄나

이번 소동이 일본에서 크게 번진 이유는 코도몬 때문입니다. 코도몬은 보호자 연락, 등하원 기록, 연락장, 근태와 청구 관리까지 맡는 어린이집·유치원용 서비스입니다. 2026년 3월 기준 2만 5천 곳이 넘는 시설이 쓰는 것으로 알려져 있습니다.

회사는 보호자 앱까지 포함한 모든 서비스를 예방 조치로 중단했습니다. 재개 목표는 10월 22일 목요일 이른 아침이고, 작업 상황에 따라 늦어질 수 있습니다. 이번 사안으로 인한 부정 접속이나 정보 유출은 확인되지 않았다고 합니다.

솔직히 눈에 띄는 대목은 "아직 뚫리지 않았는데 먼저 끄는" 판단입니다. 취약점 내용이 공개되기 전에 서비스를 닫아두고, 수정판이 나오면 확인한 뒤 여는 쪽을 택한 셈입니다. 불편은 크지만 아이들 정보를 다루는 서비스라 이해가 가는 선택이라고 봅니다.

다만 코도몬의 시스템이 이번 PHP 결함의 영향권인지는 발표만으로는 단정할 수 없습니다. 회사가 CVE 번호나 PHP 버전을 구체적으로 밝히지 않았기 때문입니다.

▲ 일본의 어린이집 건물 (2016년 촬영 · 참고 이미지 · ⓒ そらみみ (Soramimi) / Wikimedia Commons, CC BY-SA 4.0)

다른 서비스도 점검에 들어갔나

ITmedia는 코도몬 외에도 샤도바, BASE, 사쿠라 렌탈서버 같은 이름 있는 IT 서비스가 잇따라 긴급 점검에 들어간다고 전했습니다. 제목에서는 PHP 취약점이 원인일 가능성이 있다고 표현했습니다. 각 회사의 개별 사정은 확인되지 않았으니 단정은 피하겠습니다.

항목	현재까지 알려진 내용
식별 번호	CVE-2026-109618, CVE-2026-109619
위험도	CVSS v4.0 9.2 (둘 다)
수정판 공개	일본 시각 10월 21일 오후 11시
영향 버전	공식 미공개
코도몬	전 서비스 중단, 22일 이른 아침 재개 목표

서버 관리자는 오늘 밤 무엇을 해야 하나

유럽연합 사이버보안 조직 CERT-EU가 내놓은 권고는 세 가지로 요약됩니다. 우선 조직 안에서 PHP로 돌아가는 애플리케이션을 전부 파악해 둡니다. 다음으로 수정판이 나오는 즉시 적용할 준비를 합니다. 마지막으로 바로 패치할 수 없다면 인터넷에 열려 있는 앱을 외부 망에서 떼어 놓는 방법도 있습니다.

PHP는 워드프레스처럼 흔한 소프트웨어의 바탕이기도 합니다. 다만 워드프레스가 이번 결함의 영향을 받는다고 확인된 바는 없습니다. 공유 호스팅을 쓰신다면 업체 공지를 먼저 확인하시는 게 빠릅니다.

▲ PHP 마스코트 코끼리 엘리펍트 인형 (2017년 촬영 · ⓒ Atomic Taco / Wikimedia Commons, CC BY-SA 2.0)

PHP 결함이 유독 파급이 큰 이유

PHP는 웹사이트를 만드는 데 오래 쓰여 온 언어입니다. 블로그, 쇼핑몰, 업무용 시스템, 학원이나 어린이집 같은 곳의 연락 앱까지 뒷단에서 PHP로 돌아가는 경우가 많습니다. 그래서 언어 자체에 결함이 나오면 한 회사가 아니라 수많은 서비스가 한꺼번에 영향권에 들어갑니다.

비유하자면 아파트 단지 전체가 같은 제조사의 현관 도어락을 쓰는데, 그 도어락에 치명적인 결함이 있다는 예고가 먼저 나온 상황과 비슷합니다. 열쇠를 바꿀 부품은 오늘 밤에야 나오고, 그 사이 단지 관리실은 출입문을 잠가 둘지 말지 고민하는 거죠. 코도몬의 선택이 바로 그 잠가 두는 쪽이었습니다.

또 하나 짚어둘 게 있습니다. 수정판이 나온 뒤에도 일이 끝나는 건 아닙니다. 패치가 공개되면 공격자도 그 내용을 뜯어보며 아직 적용하지 않은 서버를 찾아 나서는 경우가 흔합니다. 보안 쪽에서는 이 시기를 가장 위험한 구간으로 봅니다. 수정판을 받아 놓고 적용을 미루는 곳이 있다면 그 서버가 먼저 노려질 수 있습니다.

개인 사용자 입장에서는 크게 걱정할 일은 아닙니다. 다만 어린이집이나 학원 앱, 쇼핑몰처럼 계정이 걸린 서비스가 며칠 이상하게 동작하더라도 이번 일과 관련됐을 수 있다는 정도만 알아 두시면 됩니다.

오늘부터 내일까지 일정 한눈에 보기

• 10월 21일 낮: 코도몬이 보호자 앱을 포함한 전 서비스를 예방 차원에서 중단했습니다.
• 10월 21일 오후 11시(일본 시각): PHP 보안 수정판이 공개될 예정입니다.
• 10월 22일 이른 아침: 코도몬이 서비스 재개를 목표로 하고 있습니다. 시각은 확정이 아닙니다.

정리하면 오늘 밤 11시가 모든 일의 기준점입니다. 수정판이 나오면 PHP 팀이 영향받는 버전과 고쳐진 버전을 함께 공개할 테니, 그때서야 이번 결함의 정확한 범위가 드러납니다. 지금 단계에서 나도는 추측성 글은 어디까지나 추측으로 읽는 편이 좋습니다. 저도 공개 이후 새로 확인되는 내용이 있으면 이 글에 이어서 정리해 보려고 합니다.

자주 묻는 질문

Q. PHP 취약점 CVE-2026-109618은 얼마나 위험한가요?

CVSS v4.0 9.2로 Critical 등급입니다. 보안업체는 원격 코드 실행 계열로 이해하고 있지만, 기술적인 세부 내용은 수정판이 나오기 전까지 비공개입니다.

Q. 코도몬 개인정보는 유출됐나요?

회사 발표로는 이번 사안에 따른 부정 접속이나 정보 유출은 확인되지 않았습니다. 예방 차원의 전면 중단이며, 재개 시각은 22일 이른 아침으로 안내됐습니다.

Q. 일반 사용자는 뭘 해야 하나요?

직접 PHP를 만질 일이 없다면 이용하는 서비스의 공지를 따르시면 됩니다. 비밀번호를 급히 바꿀 필요가 있다는 발표는 지금까지 없었습니다.

Q. 수정판이 나오면 바로 안전해지나요?

수정판을 적용한 서버만 안전해집니다. 공개 직후에는 공격자도 패치 내용을 분석하기 때문에, 적용이 늦은 서버가 오히려 표적이 되기 쉽습니다. 관리자라면 공개 즉시 업데이트하고 적용 여부를 확인하는 것이 좋습니다.

📖 함께 읽으면 좋은 글

• Gemini 4 Argon 성능과 가격, 구글이 일부에게만 공개한 이유
• 반도체 급락 이유, 창신메모리 쇼크로 삼성전자 7%·하이닉스 10% 폭락

제 생각에는 이번 일의 포인트가 "뚫렸느냐"보다 "얼마나 빨리 막느냐"로 옮겨 갔다는 점입니다. 오늘 밤 수정판이 나온 뒤 각 서비스가 얼마나 빨리 정상화되는지가 관전 포인트겠죠. 여러분이 쓰는 서비스는 어떤 공지를 냈는지, 댓글로 알려주세요.

🖼️ 사진 안내
본문의 사진은 자유 이용이 가능한 공개 자료이며 캡션에 촬영 연도를 적었습니다. 기사 시점(2026년 10월 21일) 현장 사진이 아니므로 사진 속 모습은 현재와 다를 수 있고, 어린이집 사진은 코도몬 이용 시설과 무관한 참고 이미지입니다.

📘 English Summary

The PHP security team announced two critical vulnerabilities, CVE-2026-109618 and CVE-2026-109619, each rated 9.2 on the CVSS v4.0 scale. Emergency patches are scheduled for 23:00 JST on October 21, 2026, though the team may release them sooner if details leak. Security researchers believe the flaws allow remote code execution, but PHP has not confirmed affected versions. In Japan, childcare platform Codmon preventively suspended all services, aiming to resume early on October 22, and says it has found no unauthorized access or data leak.