슬로우미스트 PHP 취약점 보고서: Web3 오프체인 인프라에 영향, 프로젝트 측은 즉시 최신 버전으로 업그레이드해야

BlockBeats 소식, 10월 23일, 슬로우미스트 보안팀이 PHP 고위험 취약점 심층 분석 보고서를 발표하며, PHP에서 최근 드러난 두 가지 고위험 취약점이 Web3 업계의 '오프체인 단계'에 시스템적 위험을 초래하고 있다고 밝혔다. 취약점 번호는 CVE-2026-109618과 CVE-2026-109619이며, CVSS v4.0 점수가 모두 9.2점으로 심각 등급에 속한다. 공격자는 계정 비밀번호나 API Key 없이 공인망에 노출된 PHP 서비스에 조작된 요청을 보내기만 하면 웹 서비스 프로세스 권한으로 임의 코드를 실행할 수 있다.

슬로우미스트는 해당 취약점이 PHP 5.4부터 8.5.11까지 모든 버전에 영향을 미치며, 취약점 세부 정보가 공식 패치 발표 전에 이미 유출되었고 아마존 위협 인텔리전스 팀이 공개披露 4일 전에 실제 악용 시도를 관측했다고 밝혔다. 슬로우미스트 위협 인텔리전스 시스템 MistEye 스캔에 따르면, 통계된 1488개 암호화폐 관련 도메인 중 793개가 직접적인 PHP 지문을 가지고 있어 약 53.3%를 차지한다. 이는 다수의 Web3 프로젝트 프론트엔드 페이지, API 인터페이스, 에어드롭 수령 페이지, 운영 백엔드 및 커스터디 지갑 서비스 등 오프체인 시설이 영향을 받는 PHP 환경에서 운영될 수 있음을 의미한다.

슬로우미스트는 특히 Web3 보안이 온체인 컨트랙트만 주시해서는 안 된다고 강조했다. 공격자가 PHP 취약점을 이용해 프로젝트 웹사이트 서버를 장악하면 프론트엔드 페이지를 변조하고 사용자를 유도해 악성 거래에 서명하게 함으로써 자산을 직접 탈취할 수 있다. 온체인 컨트랙트에 취약점이 없더라도 컨트랙트를 둘러싸고 작동하는 오프체인 단계가 안전하다는 것을 의미하지는 않는다.

복구 측면에서 공식은 PHP 8.5.12, 8.4.27, 8.3.36 및 8.2.35 버전을 발표했으며 관련 프로젝트는 즉시 업그레이드해야 한다. PHP 8.1 및 이전 버전은 업스트림 정규 지원이 중단되었으므로 가능한 한 빨리 마이그레이션해야 한다. 슬로우미스트는 즉시 업그레이드할 수 없을 때의 임시 완화 조치는 특정 공격 경로의 위험만 낮출 수 있으며, 패치 적용이 여전히 근본적인 해결책이라고 함께 당부했다.