PHP
AI 발견 지원PHP는 CVE-2026-109618과 CVE-2026-109619를 수정했습니다. 수정 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다. Calif가 8월에 발견했고 10월에 조율된 공개가 이뤄졌습니다.
1차 출처 ↗2024 → 2026 · 공개 자료 조사 · 2026년 10월 22일 업데이트
Protico - Community Intelligence
2026년 10월, PHP·Node.js 보안 업데이트와 eMudhra 중간 인증서 사건이 잇따라 공개됐습니다. Protico Labs는 사건의 흐름, 공개 취약점 데이터, AI를 활용한 연구와 기업 피해를 정리하고 첫 경보부터 대응 완료까지 필요한 일을 살펴봅니다.
데이터 살펴보기 ↗Community Intelligence로 앞으로의 위험 소식을 더 일찍 받아보세요2026년 10월 1~21일 · 2025년 같은 기간 대비
2,719 → 12,543
2026년 10월 20~21일, PHP·Node.js 보안 업데이트와 eMudhra 중간 인증서 사건이 잇따라 공개돼 웹사이트 운영, 연결 신뢰와 애플리케이션 업데이트에 영향을 줬습니다. 기업은 여러 기술 영역의 위험과 대응 상황을 동시에 파악해야 했습니다.
PHP는 CVE-2026-109618과 CVE-2026-109619를 수정했습니다. 수정 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다. Calif가 8월에 발견했고 10월에 조율된 공개가 이뤄졌습니다.
1차 출처 ↗중간 인증서8개의 취약한 키로 인해 브라우저, 시스템, 웹 연결의 신뢰 정보가 갱신됐습니다.
1차 출처 ↗CVE 10건은 높음 4건, 중간 3건, 낮음 3건이며 Brotli 원격 코드 실행 취약점 CVE-2026-111497이 포함됩니다. 26.12.1, 24.22.1, 22.23.4에서 의존성과 인증서 신뢰도 함께 업데이트했습니다.
1차 출처 ↗이번 공지는 소프트웨어 패치, 인증서 신뢰 갱신, 의존성 업데이트를 포함합니다. Node.js 업데이트에도 eMudhra 대응이 포함됐습니다.
2026년 10월 1~21일 NVD의 CVE 공개 건수는 12,543건으로, 2025년 같은 21일간의 2,719건보다 약 4.6배 많습니다. 그래프는 완료된 33개월과 10월 21일까지의 기록, AI 모델 발표일을 같은 시간축에 표시합니다. 진행 중인 10월은 사선으로 구분합니다.
공개 취약점
2,719 → 12,543이번 달 CVE 공개 건수
2026/10/01~10/21 · UTCNVD 공개일과 noRejected 조건으로 집계합니다. 10월은 21일(UTC)까지이며, 기록 추가나 상태 변경에 따라 건수가 바뀔 수 있습니다. 사선 막대는 10월 1~21일 합계입니다. 3개월 이동평균은 9월까지만 계산합니다.
| 기간 | CVE | CISA KEV | 기간 누적 CVE |
|---|---|---|---|
| 2024-01 | 2,594 | 21 | 2,594 |
| 2024-02 | 2,778 | 9 | 5,372 |
| 2024-03 | 3,309 | 10 | 8,681 |
| 2024-04 | 3,621 | 10 | 12,302 |
| 2024-05 | 4,999 | 14 | 17,301 |
| 2024-06 | 3,078 | 9 | 20,379 |
| 2024-07 | 3,113 | 14 | 23,492 |
| 2024-08 | 2,896 | 19 | 26,388 |
| 2024-09 | 2,514 | 25 | 28,902 |
| 2024-10 | 3,564 | 17 | 32,466 |
| 2024-11 | 4,056 | 22 | 36,522 |
| 2024-12 | 3,431 | 16 | 39,953 |
| 2025-01 | 4,275 | 14 | 44,228 |
| 2025-02 | 3,673 | 27 | 47,901 |
| 2025-03 | 3,998 | 32 | 51,899 |
| 2025-04 | 4,034 | 15 | 55,933 |
| 2025-05 | 3,980 | 24 | 59,913 |
| 2025-06 | 3,681 | 20 | 63,594 |
| 2025-07 | 3,776 | 20 | 67,370 |
| 2025-08 | 3,628 | 15 | 70,998 |
| 2025-09 | 4,321 | 16 | 75,319 |
| 2025-10 | 4,273 | 31 | 79,592 |
| 2025-11 | 3,021 | 11 | 82,613 |
| 2025-12 | 5,491 | 20 | 88,104 |
| 2026-01 | 4,302 | 17 | 92,406 |
| 2026-02 | 4,616 | 28 | 97,022 |
| 2026-03 | 6,234 | 26 | 103,256 |
| 2026-04 | 5,810 | 31 | 109,066 |
| 2026-05 | 6,936 | 21 | 116,002 |
| 2026-06 | 7,942 | 23 | 123,944 |
| 2026-07 | 9,770 | 26 | 133,714 |
| 2026-08 | 12,258 | 31 | 145,972 |
| 2026-09 | 14,933 | 43 | 160,905 |
| 2026-10 · 10월 1~21일 · 진행 중 | 12,543 | 24 | 173,448 |
CVE는 NVD API 공개일 쿼리, KEV는 CISA 공식 목록으로 집계합니다. 2026년 10월 22일 수집했으며, 10월은 21일(UTC)까지 두 해의 같은 21일을 비교합니다.
선별한 모델 발표·접근 개방 시점입니다. 접근 유형과 날짜는 출처에 연결되어 있습니다.
출시 월은 별도로 두고 전후 각3개 완료 월의 평균 신규 수를 비교합니다. 이정표 주변 변화를 기술적으로 관측하며 추가 분석 변수는 연구 방법에 설명합니다.
Calif는 GPT-5.6 Sol을 이용해 PHP 취약점을 조사했습니다. 8월 발견부터 10월 패치 공개까지 신고, 문제 재현, 공개 일정 조율이 이어졌습니다. 연구팀과 유지관리자가 언제 무엇을 했는지 시간순으로 정리했습니다.
PHP: 2026년 8월 1일 발견부터 10월 21일 패치까지의 달력상 간격.
이 사례의 발견부터 패치까지 간격은81일입니다. Calif, CERT-EU, OpenAI 기록을 정리했습니다.
91APP는 커머스 데이터베이스에 대한 공격을 보고했습니다. Zeabur의 조사는 여러 지역의 배포 환경을 다뤘고, Railway는 환경 변수 접근 가능성을 공개했습니다. 대만 기업에 익숙한 서비스에서 클라우드 인프라로 이어지는 사례들은 기업 데이터, 인증 정보, 연계 서비스의 관계를 보여 줍니다.
91APP는 Commerce Cloud 데이터베이스에 대한 자동화 공격과 일부 정보의 무단 수집을 발표했습니다.
외부 조사를 시작하고, 영향을 받은 고객에게 이메일로 통지하며 대응을 안내했습니다.
1차 출처 ↗Zeabur는 환경 변수와 계정 데이터 접근을 확인했습니다. 내부 인증 정보 교체가 불완전했던 점도 드러났습니다.
사건은 여러 지역의 배포 환경에 걸쳤으며, 상위 서비스에 접근할 수 있는 인증 정보와 API 키도 포함됐습니다.
1차 출처 ↗Railway 조사에 따르면 외부인이 일부 환경 변수의 복호화된 내용에 접근했을 가능성이 있습니다.
10월 22일 후속 발표: Railway가 버킷 인증 정보를 재설정했습니다. 이용자는 버킷 서비스를 다시 배포하고 GitHub를 재연결하며, Railway에서 제거된 레지스트리 토큰을 GitHub에서도 직접 폐기해야 합니다.
1차 출처 ↗ · Railway · 2026.10.22 ↗2026년 10월 21일, 다카이치 사나에 일본 총리는 X에서 공개 경고를 전했습니다. 웹사이트의 PHP 사용 여부를 확인하고, 게시물에서 일본 시간으로 그날 23시에 공개할 예정이라고 안내한 중대한 취약점 두 건의 수정 패치를 신속히 적용할 수 있도록 준비해 달라고 요청했습니다.
원문 읽기 ↗
IDC의 시장 전망, IBM/Ponemon의 유출 조사와 M&S의 실적 발표는 각각 연간 보안 지출 규모, 평균 유출 비용, 한 기업의 복구 비용을 보여 줍니다.
자료 확인: 2026.10.22
IDC가 2026년 3월 3일 발표한 보안 제품·서비스 지출 전망입니다. 2029년 예상 금액은 2026년보다 약 40% 높습니다.
IDC · 2026.03.03 ↗조사는 2025년 3월부터 2026년 2월 사이에 유출을 겪은 602개 조직을 대상으로 했습니다. 표본 중 AI가 활용된 악의적 유출의 평균 비용은 US$6M이었습니다.
IBM · 2026.07.29 ↗시스템 대응·복구와 전문가 지원에 든 비용입니다. M&S는 보험금 £100M을 별도로 보고했고, 매출과 영업 중단의 영향은 실적의 다른 항목에서 설명했습니다.
M&S · 2026.05.20 ↗세계 시장, 여러 기업의 조사 표본, 한 기업의 회계라는 범위별로 제시했습니다. 금액은 원래 통화를 유지했습니다.
출처와 자료 정리 방법
이 특집은 미국 국가취약점데이터베이스(NVD), CISA, CVE Program의 공식 데이터와 기업, 연구팀, 공공기관의 사건 발표를 사용합니다. 아래에서 원본 파일, 수집일과 계산 방법을 확인할 수 있습니다.
NVD API를 UTC 공개일 기준으로 월별 조회하며, noRejected로 철회된 기록을 제외한 totalResults를 건수로 사용합니다. 원본 API 응답은 데이터 패키지에 포함되어 있습니다.
API 자료 수집일 · 2026-10-22
출처 열기 ↗공식 CSV의 dateAdded로 월별 신규 등록을 집계합니다. CVE ID당 한 행이며, 날짜는 CISA 목록의 기록을 따릅니다.
최신 추가일 · 2026-10-20
출처 열기 ↗CVE Program metrics JSON의 원래 분기 값을 별도의 대조 자료로 보관하고, 월별 합계와 두 값의 차이를 함께 표시합니다.
이 스냅샷의 공개 범위 · 2026-Q2
출처 열기 ↗NVD API의 월별 응답, 두 해의 10월 1~21일 조회 결과, CISA CSV와 CVE Program 분기 JSON을 보관합니다. 조회 기간, 수집일과 SHA-256을 기록해 내려받은 파일의 일치를 확인할 수 있도록 합니다.
완료된 월 계열은 2024년 1월부터 2026년 9월까지 33개월입니다. 2026년 10월 1~21일은 중간 집계 막대로 따로 표시합니다. 상단의 전년 대비 수치는 2025년과 2026년의 10월 1~21일을 비교하며, 양쪽 모두 21일입니다.
스크립트로 월별 수치, 누계, 동일 기간 비교, CSV와 분기 값을 대조합니다. 사례는 원래 발표에 따라 발견·공개·패치 날짜와 AI 관여에 대한 출처의 설명을 기록합니다.
용어 출처: NVD ↗ · CVE Program ↗ · CISA ↗
수치를 직접 확인하려면 전체 데이터 패키지를 내려받아 압축을 풀고, 아래 Python 3 명령을 실행해 주세요. 파일 일치 여부, 월별 수치, 누계, 전년 동월 비교와 분기 비교를 확인할 수 있습니다. CSV에는 완료된 33개월과 10월 중간 집계 1행이 담겨 있습니다. 포함된 파일만 사용하므로 오프라인에서도 실행됩니다.
전체 데이터 패키지 · ZIP ↓해당 폴더에서 실행
python3 reproduce_counts.py연구 제목, 수집일, 지표·기간, 이 페이지 URL을 포함하세요. 그래프를 인용할 때 출처 정의를 유지하고 사례에는 원래 발표도 함께 인용하세요.
Protico Community Intelligence, 『PHP, Node.js, 인증서에서 잇따른 보안 경고. AI 시대, 기업에 남은 대응 시간은?』 (The Response Gap), 자료 수집일 2026-10-22; 월별 공개 CVE / CISA KEV, 2024-01 → 2026-09; 2026-10-01 → 2026-10-21.
추가할 사건이나 확인하고 싶은 수치가 있나요? 관련 문단, 월과 출처를 로비에 함께 올리면 다른 독자도 확인할 수 있습니다. 이메일로 자료를 보내주셔도 좋습니다.
또는 이메일로 연락하기 ↗이 페이지의 글꼴에 대해 · 브랜드 표기에는 SIL Open Font License의 Inter를 이 사이트에서 제공합니다. 본문은 기기의 산세리프 글꼴, 숫자와 라벨은 고정폭 글꼴을 씁니다. 애니메이션은 언제든 끌 수 있습니다.
취약점 수는 공개 데이터베이스, 기업 사례는 당사자의 발표를 바탕으로 합니다. CVE 공개 기록, KEV 신규 등록과 개별 사건은 각각의 단위로 표시합니다.
월별 그래프는 완료된 달과 이번 달 21일까지의 기록을 구분하고 수집일을 표시합니다. 10월 비교는 두 해의 같은 21일을 사용하며 사건의 발견일, 공개일, 패치일은 각각 기록합니다.
공식 발표와 이용 시작 기록을 사용합니다. 발표 전후 각 3개의 완료된 월의 평균은 인접한 시기의 수량 변화를 보여 줍니다. 원인 분석에는 수집 방식과 같은 시기의 다른 요인도 필요합니다.
기업이나 연구팀이 공개 설명을 제공한 사건을 골라 시스템, 데이터와 대응 상황을 정리합니다. 확인된 사실, 영향 가능성과 조사 중인 사항을 구분합니다.
연도, 통화와 출처를 표시하고 추정치, 전망치와 기업이 공시한 영향을 구분합니다. 시장 지출, 조사 표본의 비용과 개별 기업 손실은 각자의 집계 범위와 함께 제시합니다.
신고, 통지 전달과 패치 시각이 갖춰진 기록은 대응 과정을 정리하는 데 도움이 됩니다. 공개적으로 인용할 수 있는 자료와 출처를 토론에서 나눠 주세요.
CVE.org와NVD파생 연구는 각 기록 상태, 수록, 스냅샷 시점으로 집계합니다. 두 값과 차이를 보존하며 공식2026Q3는 업데이트 대기 중입니다.
| 분기 | 월별 연구 합계 | CVE 공식 분기 | 차이 |
|---|---|---|---|
| 2024-Q1 | 8,681 | 8,697 | -16 |
| 2024-Q2 | 11,698 | 11,716 | -18 |
| 2024-Q3 | 8,523 | 8,591 | -68 |
| 2024-Q4 | 11,051 | 11,073 | -22 |
| 2025-Q1 | 11,946 | 12,009 | -63 |
| 2025-Q2 | 11,695 | 11,701 | -6 |
| 2025-Q3 | 11,725 | 11,738 | -13 |
| 2025-Q4 | 12,785 | 12,796 | -11 |
| 2026-Q1 | 15,152 | 15,163 | -11 |
| 2026-Q2 | 20,688 | 20,709 | -21 |
보안 사고는 기업과 이용자 사이의 책임과 신뢰에도 영향을 줍니다. Protico는 이용약관, 개인정보 안내와 내부 절차가 이런 변화에 어떻게 대응하는지 살펴봅니다. NIST, CISA 등 기관의 공개 지침을 바탕으로 통지, 역할과 지원 창구에 관한 다섯 가지 항목을 정리했습니다.
고객 및 이용자와 사고 발생 시의 표준 대응 절차를 다시 확인하세요. 대응을 시작하는 조건, 담당자, 연락 방법과 후속 안내 시점을 함께 정하고, 서비스 중단 중에도 연락 창구를 통해 영향 범위와 처리 상황을 확인할 수 있도록 하세요.
회사가 맡는 보안 업데이트, 계정 보호와 데이터 관리를 설명하세요. 사용자가 기기를 업데이트하거나 인증 정보를 재설정하고 의심스러운 로그인을 확인할 때도 쉬운 예시를 제공하세요.
외부 서비스와 AI 도구의 보안 요구사항, 데이터 이용 목적, 접근 권한, 사고 통지와 지원 체계를 정기적으로 검토하세요. 공급업체가 기능, 약관이나 보호 조치를 바꾸면 현재 이용 방식에 미치는 영향을 확인하고 내부 규칙과 대응 절차를 갱신하세요.
계정 복구와 데이터 열람·정정·삭제 신청 방법, 이의 제기 창구를 찾기 쉬운 곳에 안내하세요. 약관을 바꿀 때도 사용자가 법적으로 보장받는 권리를 지켜야 합니다.
의심스러운 메시지, 계정 탈취, 공급업체 경고를 가정해 보세요. 고객 지원, 제품, 법무, 보안 담당자가 함께 연습하고, 누가 이어받을지 정한 뒤 막히는 부분을 고치세요.
Protico Community Intelligence는 커뮤니티에 흩어진 신호를 기업이 추적할 수 있는 정보로 정리합니다. 담당자의 확인과 대응을 도와 이용자와의 약속이 일상 업무로 이어지게 합니다.
Protico가 직접 작성한 글, 분석과 도표는 상업 매체를 포함해 인용·번역·편집해 사용할 수 있습니다. “Protico Community Intelligence”를 표시하고 원문 링크와 자료 날짜를 함께 적어 주세요. 번역하거나 수정한 부분도 밝혀 주세요. 이 범위의 사용에는 별도 신청이 필요 없습니다.
4개 언어 참고 자료, 출처 목록, 지표 정의, 편집 가능한 도표와 파일 목록을 제공합니다. 기사, 발표 자료나 연구 도구에서 활용할 수 있습니다.
미디어·Agent 자료 모음 다운로드 ↓자료 정리 및 분석: Protico Community Intelligence — PHP, Node.js, 인증서에서 잇따른 보안 경고. AI 시대, 기업에 남은 대응 시간은? · 자료 기준일: 2026-10-22 · https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/ko/
번역·발췌·수정한 경우 함께 표시해 주세요.
이 허가는 Protico의 자체 제작물에만 적용됩니다. 타사의 보고서, 데이터셋, 게시물 스크린샷과 로고는 각각의 허가 또는 적법한 이용 조건을 따릅니다. 자료 모음은 해당 출처의 링크를 제공하며, 타사의 권리까지 허가하지는 않습니다. 이용 조건 읽기 ↗
커뮤니티에서 나누는 경험과 질문, 위험 신호는 기업이 변화를 이해하는 단서가 됩니다. Protico Community Intelligence는 이런 대화와 공개 자료를 연결해, 팀이 업무와 관련된 신호를 찾고 의미를 판단해 더 일찍 대응하도록 돕습니다.