심각 취약점 2건·고위험 4건…웹 개발 도구 3종 하루 새 보안 패치

서지우 기자 2026.10.23 02:00

PHP에서 심각 등급 원격 코드 실행 취약점 2건이, Node.js에서 고위험 취약점 4건이 공개됐다. Go는 TLS 인증서 검증과 관련된 중간 인증서를 거부 목록에 올렸다.

토포AI로 이 기사 더 깊이 읽기

심각 취약점 2건·고위험 4건…웹 개발 도구 3종 하루 새 보안 패치 / TokenPost.ai

PHP와 Node.js, Go가 하루 사이 잇따라 보안 업데이트를 내놨다. PHP에서는 심각 등급 원격 코드 실행 취약점 2건이, Node.js에서는 고위험 취약점 4건이 공개됐고, Go는 인증서 검증과 관련된 중간 인증서를 신뢰 대상에서 제외했다.

원격 코드 실행(RCE)과 TLS 인증서 검증 우회 문제가 같은 날 함께 공개됐다고 블록비츠(BlockBeats)는 22일 전했다. 세 프로젝트의 취약점은 위치와 성격이 서로 다르다.

PHP에서는 CVE-2026-109618과 CVE-2026-109619 두 건이 '심각' 등급으로 보고됐다. 두 건 모두 인증 없이 원격에서 코드를 실행할 수 있는 유형이어서 웹 요청을 처리하는 PHP 환경이 영향권에 든다. 수정 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35다.

Node.js 공지에는 취약점 10건이 담겼고 이 가운데 4건이 고위험으로 분류됐다. 고위험 항목은 △Brotli 디코더의 범위 밖 쓰기로 생기는 원격 코드 실행 △DNS 이름 잘림 △TLS 호스트명 검증 우회 2건이다. 호스트명 검증은 접속한 서버가 의도한 서버가 맞는지 확인하는 절차로, 이 단계가 뚫리면 가짜 서버를 정상 서버로 오인할 수 있다. 수정 버전은 26.12.1, 24.22.1, 22.23.4다.

Go에서는 crypto/x509 관련 취약점 CVE-2026-111943이 확인됐다. 레드햇(Red Hat)은 이를 '중요(Important)' 등급으로 평가했고 CVSS 3.1 점수는 6.8점이다. 공격자가 특정 네트워크 위치에 있고 관련 인증서 등 조건이 갖춰지면 합법 서버를 가장해 통신을 가로채거나 변조할 수 있다. Go는 1.26.10과 1.27.3을 내놓으면서 문제가 된 중간 인증서를 거부 목록에 올려 더 이상 신뢰하지 않도록 막았다.

중간 인증서는 최종 서버 인증서와 최상위 인증 기관을 잇는 인증서다. 이 고리 하나를 차단했다는 것은 특정 인증서 신뢰 사슬을 직접 끊었다는 뜻이다.

이번 공지가 눈길을 끄는 이유는 취약점의 위치가 응용 코드에서 런타임과 인증서 체계로 넓어졌다는 점이다. 블록비츠는 이 흐름을 'TLS 증명 체계와 CA 신뢰로 공격 면이 올라가고 있다'고 풀이했고, Go의 조치를 일반적인 버전 업그레이드보다 인증서 신뢰 사슬의 긴급 차단에 가깝다고 평가했다. 이는 블록비츠의 분석이며 공식 기관의 판단은 아니다.

CVSS는 취약점 심각도를 0~10점으로 나타내는 평가 체계다. 6.8점은 통상 중간 등급에 해당하지만 레드햇은 같은 취약점을 '중요' 등급으로 분류했다. 점수만으로 실제 위험을 가늠하기 어렵다는 의미다.

악용 사례나 가격 변동, 거래소·지갑의 대응은 이번 보도에 담기지 않았다. 국내 서비스 운영사의 점검 결과와 후속 패치 여부는 아직 확인되지 않았다.