# PHP, Node.js, 인증서에서 잇따른 보안 경고. AI 시대, 기업에 남은 대응 시간은?

자료 정리 및 분석: Protico Community Intelligence — PHP, Node.js, 인증서에서 잇따른 보안 경고. AI 시대, 기업에 남은 대응 시간은? · 자료 기준일: 2026-10-22 · https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/ko/

공개 취약점 자료, 최근 사고와 기업 비용을 함께 살펴보고, 기업의 대응 시간과 서비스 약속·사고 안내·이용자 보호를 어떻게 개선할지 다룬 자료입니다.

## 연구 스냅샷

- 완전한 월별 자료: 2024-01 → 2026-09 (33)
- 월 중간 집계: 2026-10-01 → 2026-10-21
- CVE snapshot: 2026-10-22T07:01:20.491Z
- KEV latest catalog entry: 2026-10-20
- Reference date: 2026-10-22

## 인용할 수 있는 수치

| 수치를 정리한 방법 | 2025-10-01 → 2025-10-21 | 2026-10-01 → 2026-10-21 | YoY |
| --- | ---: | ---: | ---: |
| 공개된 CVE | 2,719 | 12,543 | +361.3% |

IDC의 2026년 3월 전망은 세계 보안 지출을 2026년 3,080억 달러, 2029년 4,300억 달러로 예상했습니다. 두 수치 모두 2026년 3월 전망을 기준으로 합니다. [IDC](https://www.idc.com/resource-center/press-releases/wwsecuritysg/)

M&S는 2026년 3월 종료 회계연도에 사고 관련 비용 1억 3,130만 파운드를 기록했으며 보험금은 별도로 처리했습니다. 이 비용은 시스템 대응·복구와 외부 전문 지원을 포함하며, 영업 영향은 결산에서 별도로 설명합니다. [M&S](https://corporate.marksandspencer.com/newsroom/press-releases/full-year-results-52-weeks-ended-28-march-2026)

## 수치를 정리한 방법

CVE는 공개 월, KEV는 목록 추가 월 기준입니다. 각각 공개와 목록 갱신의 흐름을 보여 줍니다.

- CVE는 2026-10-22에 수집한 NVD 공식 API 응답을 사용합니다. UTC 공개일로 조회하고 noRejected로 철회된 기록을 제외한 totalResults를 건수로 사용합니다. 원본 응답은 연구 데이터 패키지에 보관되어 있습니다.
- KEV는 CISA의 dateAdded를 기준으로 집계해 알려진 악용 기록이 목록에 추가된 시점을 보여 줍니다.
- 공식 CVE 분기 통계는 독립적인 참고 자료로 제시합니다.

## 수치와 함께 살펴볼 내용

- 전년 동월 비교는 2025년과 2026년의 10월 1~21일을 대상으로 하며 양쪽 모두 21일입니다. 그래프는 완료된 33개월과 2026년 10월 21일까지의 중간 집계를 따로 표시합니다.
- AI 모델 날짜는 배경 정보입니다. 증가에 대한 AI의 영향을 평가하려면 각 취약점의 연구 도구, 발견자와 다른 요인에 관한 자료가 필요합니다.
- 세계 지출 전망, 조사 평균과 기업 결산은 각각의 통화·기간·집계 범위를 유지해 제시합니다.

## 대만에서 세계로, 기업 서비스 전반에 걸친 공통 위험.

91APP는 커머스 데이터베이스에 대한 공격을 보고했습니다. Zeabur의 조사는 여러 지역의 배포 환경을 다뤘고, Railway는 환경 변수 접근 가능성을 공개했습니다. 대만 기업에 익숙한 서비스에서 클라우드 인프라로 이어지는 사례들은 기업 데이터, 인증 정보, 연계 서비스의 관계를 보여 줍니다.

### 91APP · 2026년 10월 16일

91APP는 Commerce Cloud 데이터베이스에 대한 자동화 공격과 일부 정보의 무단 수집을 발표했습니다.

외부 조사를 시작하고, 영향을 받은 고객에게 이메일로 통지하며 대응을 안내했습니다. [91APP](https://91app.com/blog/91app-202610-security/)

### Zeabur · 2026년 10월 14~15일

Zeabur는 환경 변수와 계정 데이터 접근을 확인했습니다. 내부 인증 정보 교체가 불완전했던 점도 드러났습니다.

사건은 여러 지역의 배포 환경에 걸쳤으며, 상위 서비스에 접근할 수 있는 인증 정보와 API 키도 포함됐습니다. [Zeabur](https://zeabur.com/blogs/october-2026-security-incident)

### Railway · 2026년 10월 21~22일

Railway 조사에 따르면 외부인이 일부 환경 변수의 복호화된 내용에 접근했을 가능성이 있습니다.

10월 22일 후속 발표: Railway가 버킷 인증 정보를 재설정했습니다. 이용자는 버킷 서비스를 다시 배포하고 GitHub를 재연결하며, Railway에서 제거된 레지스트리 토큰을 GitHub에서도 직접 폐기해야 합니다. [Railway](https://blog.railway.com/p/security-disclosure-wednesday-october-21st)

10월 21일 밤, 다카이치 사나에 일본 총리는 X에 PHP 사용 여부를 확인하고 업데이트를 준비해 달라는 글을 올렸습니다. 평소 엔지니어가 맡는 소프트웨어 업데이트를 총리가 직접 당부한 것입니다. [X](https://x.com/takaichi_sanae/status/2112890642590564386)

## Protico의 관점

보안 사고는 기업과 이용자 사이의 책임과 신뢰에도 영향을 줍니다. Protico는 이용약관, 개인정보 안내와 내부 절차가 이런 변화에 어떻게 대응하는지 살펴봅니다. NIST, CISA 등 기관의 공개 지침을 바탕으로 통지, 역할과 지원 창구에 관한 다섯 가지 항목을 정리했습니다.

### 고객·이용자와 사고 대응 방침을 다시 확인하세요.

고객 및 이용자와 사고 발생 시의 표준 대응 절차를 다시 확인하세요. 대응을 시작하는 조건, 담당자, 연락 방법과 후속 안내 시점을 함께 정하고, 서비스 중단 중에도 연락 창구를 통해 영향 범위와 처리 상황을 확인할 수 있도록 하세요.

### 각자 해야 할 일을 구체적으로 설명하세요.

회사가 맡는 보안 업데이트, 계정 보호와 데이터 관리를 설명하세요. 사용자가 기기를 업데이트하거나 인증 정보를 재설정하고 의심스러운 로그인을 확인할 때도 쉬운 예시를 제공하세요.

### 외부 도구의 보안 요구사항과 기준을 지속적으로 파악하세요.

외부 서비스와 AI 도구의 보안 요구사항, 데이터 이용 목적, 접근 권한, 사고 통지와 지원 체계를 정기적으로 검토하세요. 공급업체가 기능, 약관이나 보호 조치를 바꾸면 현재 이용 방식에 미치는 영향을 확인하고 내부 규칙과 대응 절차를 갱신하세요.

### 도움이 필요한 사람이 쉽게 찾아올 수 있게 하세요.

계정 복구와 데이터 열람·정정·삭제 신청 방법, 이의 제기 창구를 찾기 쉬운 곳에 안내하세요. 약관을 바꿀 때도 사용자가 법적으로 보장받는 권리를 지켜야 합니다.

### 동료들과 대응 절차를 직접 따라가 보세요.

의심스러운 메시지, 계정 탈취, 공급업체 경고를 가정해 보세요. 고객 지원, 제품, 법무, 보안 담당자가 함께 연습하고, 누가 이어받을지 정한 뒤 막히는 부분을 고치세요.

Protico Community Intelligence는 커뮤니티에 흩어진 신호를 기업이 추적할 수 있는 정보로 정리합니다. 담당자의 확인과 대응을 도와 이용자와의 약속이 일상 업무로 이어지게 합니다.

## 콘텐츠 이용 허가

Protico가 직접 작성한 글, 분석과 도표는 상업 매체를 포함해 인용·번역·편집해 사용할 수 있습니다. “Protico Community Intelligence”를 표시하고 원문 링크와 자료 날짜를 함께 적어 주세요. 번역하거나 수정한 부분도 밝혀 주세요. 이 범위의 사용에는 별도 신청이 필요 없습니다.

이 허가는 Protico의 자체 제작물에만 적용됩니다. 타사의 보고서, 데이터셋, 게시물 스크린샷과 로고는 각각의 허가 또는 적법한 이용 조건을 따릅니다. 자료 모음은 해당 출처의 링크를 제공하며, 타사의 권리까지 허가하지는 않습니다.

번역·발췌·수정한 경우 함께 표시해 주세요.

[이용 조건 읽기](https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/media-kit/license.txt)

## 출처와 추가 자료

- [구조화된 JSON 다운로드](https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/media-kit/reference.json)
- [편집 가능한 SVG 도표 다운로드](https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/media-kit/chart-ko.svg)
- [Research data kit](https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/response-gap-data.zip)
- [Original research and source notes](https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/research.json)
- [Original source manifest](https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/source-manifest.json)

- NIST National Vulnerability Database — [monthly-cve](https://nvd.nist.gov/developers/vulnerabilities)
- CISA — [kev](https://github.com/cisagov/kev-data/blob/fd12990e9c566a1ad3060e1a2073129778f438cc/known_exploited_vulnerabilities.csv)
- CVE Program — [official-quarterly-cve](https://github.com/CVEProject/cve-website/blob/f2b4f05012bbbe22905587c6d0c48e23767b1822/src/assets/data/metrics.json)
- IDC — [Global Security Spend to Exceed $300 Billion in 2026 as the Adoption of AI-Driven Security Platforms Gains Momentum](https://www.idc.com/resource-center/press-releases/wwsecuritysg/) · 2026-03-03
- IDC — [IDC IT Security Summit, 2027 Series](https://www.idc.com/mea/events/become-a-sponsor/it-security/)
- Gartner — [Forecast Analysis: Information Security, Worldwide, 2026](https://www.gartner.com/en/documents/7408930) · 2026-02-05
- Gartner — [Forecast: Information Security, Worldwide, 2024-2030, 3Q26](https://www.gartner.com/en/documents/8422113) · 2026-09-24
- Gartner — [Gartner Forecasts the Market for Securing AI Will Reach $4.8 Billion in 2027](https://www.gartner.com/en/newsroom/press-releases/2026-08-26-gartner-forecasts-the-market-for-securing-ai-will-reach-almost-5-billion-in-2027) · 2026-08-26
- IBM / Ponemon Institute — [IBM Study: One in Four Malicious Breaches are AI-Enabled, Costing Companies $6 Million on Average](https://newsroom.ibm.com/2026-07-29-ibm-study-one-in-four-malicious-breaches-are-ai-enabled,-costing-companies-6-million-on-average) · 2026-07-29
- IBM — [IBM Report: UK Sees Drop in Breach Costs as AI Speeds Detection](https://uk.newsroom.ibm.com/2025-cost-of-data-breach-UK) · 2025-07-30
- Marks & Spencer Group plc — [Full Year Results for the 52 Weeks Ended 28 March 2026](https://corporate.marksandspencer.com/newsroom/press-releases/full-year-results-52-weeks-ended-28-march-2026) · 2026-05-20
- JLR — [JLR Q3 Performance Impacted by Previously Indicated Challenges](https://www.jlr.com/news/2026/02/jlr-q3-performance-impacted-previously-indicated-challenges) · 2026-02-05
- JLR — [Annual Report 2026](https://www.jlr.com/annual-report-2026)
- FBI Internet Crime Complaint Center — [2025 IC3 Annual Report](https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf) · 2026-04
- PwC — [2027 Global Digital Trust Insights: C-suite playbook and findings](https://www.pwc.com/us/en/services/consulting/cybersecurity-data-tech-risk/library/global-digital-trust-insights.html) · 2026-10-01
- [PHP / PHP2Shell](https://www.php.net/archive/2026.php)
- [PHP / PHP2Shell](https://calif.io/php2shell/)
- [PHP / PHP2Shell](https://cert.europa.eu/publications/security-advisories/2026-018/)
- [PHP / PHP2Shell](https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/)
- [PHP / PHP2Shell](https://www.wiz.io/blog/php2shell-php-rce)
- [eMudhra intermediate certificates](https://blog.mozilla.org/security/2026/10/20/protecting-firefox-users-following-the-compromise-of-emudhra-intermediate-certificates/)
- [eMudhra intermediate certificates](https://blog.cloudflare.com/emudhra-certificate-compromise/)
- [Node.js October security release](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases)
- [Zeabur October incident](https://zeabur.com/blogs/october-2026-security-incident)
- [Zeabur October incident](https://zeabur.com/blogs/august-2026-security-incident)
- [Zeabur October incident](https://status.zeabur.com/)
- [91APP Commerce Cloud](https://91app.com/blog/91app-202610-security/)
- [Railway environment variables](https://blog.railway.com/p/security-disclosure-wednesday-october-21st)
- [Railway environment variables](https://blog.railway.com/p/security-disclosure-recommendation-redeploy-buckets-and-reconnect-github-after-the-credential-reset)
- [Japan prime minister PHP warning](https://x.com/takaichi_sanae/status/2112890642590564386)
- NIST — [NIST SP 800-61 Rev. 3 — Incident Response Recommendations](https://csrc.nist.gov/pubs/sp/800/61/r3/final) · 2025-04-03
- NIST — [NIST Cybersecurity Framework 2.0](https://doi.org/10.6028/NIST.CSWP.29) · 2024-02-26
- CISA — [U.S. and International Partners Publish Secure-by-Design and -Default Principles and Approaches](https://content.govdelivery.com/accounts/USDHSCISA/bulletins/354a744) · 2023-04-13
- NIST — [NIST AI 600-1 — Generative Artificial Intelligence Profile](https://doi.org/10.6028/NIST.AI.600-1) · 2024-07
- 全國法規資料庫 — [台灣個人資料保護法：第 3、8、12 條及生效狀態](https://law.moj.gov.tw/LawClass/LawOldVer.aspx?pcode=I0050021) · 2023-05-31
- UK National Cyber Security Centre — [Effective steps to cyber exercise creation](https://www.ncsc.gov.uk/guidance/effective-steps-to-cyber-exercise-creation)