2026년 10월 21일은 인터넷 보안 담당자들에게 유난히 바쁜 날이었습니다. 웹사이트를 움직이는 PHP에서 인증 없이 원격 명령을 실행할 수 있는 치명적 취약점 두 개가 공개됐고, Node.js도 네 가지 고위험 문제를 고친 새 버전을 내놓았습니다. 여러 인공지능 서비스를 연결하는 오픈소스 도구 LiteLLM에서는 악성 코드가 공식 배포 경로에 섞인 공급망 침해가 확인됐습니다. 세 사건은 서로 관련이 없지만, 업데이트를 미루거나 출처를 확인하지 않은 프로그램을 설치했을 때 피해가 얼마나 빠르게 번질 수 있는지를 보여줍니다.
PHP를 쓰는 웹사이트는 즉시 업데이트가 필요합니다
PHP 공식 보안 공지는 CVE-2026-109618과 CVE-2026-109619가 웹 요청을 받는 설치 환경에 영향을 줄 수 있다고 설명했습니다. 수정 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다. PHP 8.1 이하처럼 지원이 끝난 버전은 배포판 업체가 별도 패치를 제공하는지 확인하거나 지원 버전으로 옮겨야 합니다. 컴친 학생분들이 직접 서버를 관리하지 않더라도, WordPress 호스팅 업체에 현재 PHP 버전과 패치 적용 여부를 문의할 수 있습니다. 업데이트 전에 백업을 만들고 플러그인 호환성을 확인하는 것도 중요합니다.
Node.js와 LiteLLM은 개발자·사업체가 특히 확인해야 합니다
Node.js는 최신 보안 릴리스에서 원격 코드 실행과 TLS 검증 우회 가능성이 있는 문제를 수정했습니다. LiteLLM 침해는 더 직접적입니다. 문제가 된 1.107.0 패키지와 일부 컨테이너 이미지에는 클라우드 자격증명, 암호, AI 서비스 키를 훔칠 수 있는 코드가 포함됐다고 보고됐습니다. 해당 버전을 설치했다면 삭제만 하고 끝내지 말고, 공식 복구 지침에 따라 API 키와 비밀번호를 교체하고 접속 기록을 점검해야 합니다. 회사 서버라면 보안 담당자나 관리업체에 즉시 알리는 것이 안전합니다.
일반 이용자는 겁먹기보다 기본 수칙을 지키세요
이 소식이 아이폰이나 갤럭시가 곧바로 해킹됐다는 뜻은 아닙니다. 다만 사용하는 쇼핑몰·교회·단체 사이트가 취약한 서버를 쓸 가능성은 있습니다. 갑자기 다시 로그인하라고 요구하거나 비밀번호 재설정 메일이 오면, 메일 속 링크를 누르지 말고 평소 쓰던 즐겨찾기나 공식 앱으로 직접 들어가 확인하세요. 여러 사이트에서 같은 비밀번호를 쓰지 말고, 가능한 계정에는 2단계 인증을 켜는 것이 좋습니다.
오늘 바로 할 점검
웹사이트 운영자는 호스팅 제어판에서 PHP 버전을 확인하고, 관리업체에 10월 21일 보안패치 적용 여부를 물어보세요. 개발자는 Node.js 보안 릴리스와 LiteLLM 복구 공지를 확인하고 비밀키를 교체해야 합니다. 일반 독자는 운영체제와 브라우저를 최신 상태로 유지하고 의심스러운 로그인 알림을 확인하세요. 관련해서 Edge 자동 보안업데이트 설정, Chrome 위험 사이트 경고, API 키 노출 대응법도 함께 읽어보시면 좋습니다.
출처
PHP 공식 2026 보안 공지
LiteLLM 공식 GitHub 사고 안내
TechCrunch 종합 보도
컴친 한줄 정리
이번 경보는 서로 다른 사건이지만 결론은 같습니다. 프로그램은 공식 경로에서 받고, 지원되는 최신 버전으로 업데이트하며, 노출 가능성이 있는 암호와 API 키는 즉시 바꾸세요.
