바이낸스 창업자 CZ가 두 건의 치명적인 PHP 취약점이 활발히 악용되고 있다며 인터넷 이용자들에게 주의를 당부했다. 이번 취약점은 WordPress와 Magento 등 전 세계 웹사이트의 최대 70%에 영향을 미칠 수 있어, 크립토는 물론 인터넷 전반에서 올해 손꼽히는 보안 이슈로 떠오르고 있다.
실제로 무슨 일이 있었나
CZ는 2026년 10월 23일, 앞으로 며칠간 웹사이트 방문 시 주의가 필요하다는 경고 게시물을 올렸다. 그는 WordPress와 Magento 등에 널리 쓰이는 PHP가 10월 21일 두 건의 치명적인 취약점, CVE-2026-109618과 CVE-2026-109619를 패치했다고 밝혔다. 그러나 공식 공개 전 세부 정보가 유출되면서 유출 직후부터 거의 곧바로 악용이 시작됐다.
아마존 위협 인텔리전스 팀은 공식 패치가 나오기 전인 10월 17일부터 이미 악용 시도를 포착했다. 팔로알토 네트웍스는 전 세계적으로 2,260만 개 이상의 노출된 인스턴스를 확인했다고 집계했다. Wiz 연구진은 이 취약점이 인터넷의 약 70%에 영향을 줄 수 있다고 추정하면서, 근본적인 문제가 10년 이상 된 것이라고 지적했다. NCC그룹의 매트 헐은 WuBlockchain을 통해 일부 시스템이 이미 침해되어 백도어가 설치됐을 가능성이 있다고 경고했다.
이렇게 된 배경
드래곤플라이의 매니징 파트너 하시브 쿠레시는 온체인 공격이 가장 직접적으로 수익화하기 쉽기 때문에 크립토가 인터넷 전반보다 먼저 해킹 물결을 겪고 있다고 설명했다. 그는 공격 건수는 크게 늘었지만, 대형 프로토콜들이 AI 기반 방어 체계를 도입하면서 건당 평균 피해액이 줄어든 덕분에 연간 누적 손실액은 2025년과 비슷한 수준을 유지하고 있다고 덧붙였다.
이더리움 공동 창립자 비탈릭 부테린은 AI를 활용한 취약점 탐지를 둘러싼 논쟁에 대해, 방어 측이 공격자를 자동으로 앞서갈 것이라고 기대한 적이 없다고 말했다. 그는 지속적인 우위를 확보하려면 형식 검증(formal verification)과 같은 더 근본적인 변화가 필요하다며, GDP의 1% 이상을 사이버보안과 생물보안에 투자해야 한다고 WuBlockchain을 통해 촉구했다.
당신에게 중요한 이유
크립토 이용자에게 이번 사태는 대부분의 해킹이 스마트 컨트랙트가 아니라 평범한 웹 인프라에서 시작된다는 사실을 다시 일깨운다. 지갑 인터페이스, 거래소 포털, 디파이 프런트엔드는 대개 PHP 기반 시스템에서 구동되기 때문에, 패치되지 않은 서버는 비밀번호나 시드 문구 유출로 이어질 수 있다. 쿠레시는 공격자들이 보안 예산이 부족한 프로젝트를 점점 더 많이 노리고 있다고 지적하며, 소규모 프로토콜을 운영하는 개발자들이 가장 큰 위험에 처해 있다고 말했다. 대형 플랫폼들은 AI 기반 모니터링 도입으로 건당 피해를 줄이고 있지만, 소규모 팀들은 아직 이에 대응할 여력이 없다. 개인 사이트나 지갑 게이트웨이, 회사 블로그를 운영하는 사람이라면 10월 21일자 패치가 설치됐는지 즉시 확인하고, 오래된 플러그인을 잠재적 위협이 아니라 현재 진행형 위협으로 취급해야 한다.
더 큰 질문
AI가 공격자와 방어자 모두에게 같은 취약점을 같은 속도로 찾아낼 수 있게 해준다면, 더 나은 탐지 기술은 실제 피해를 줄이는 것일까, 아니면 양측 모두의 속도를 가속화할 뿐일까. 방어 측이 과연 앞서나갈 수 있을지에 대한 부테린 자신의 불확실한 태도는, 이런 도구들이 크립토와 인터넷 전반에 확산되는 가운데 전문가들조차 누가 가장 큰 이익을 볼지 확신하지 못하고 있음을 보여준다.
앞으로 주목할 점
보안 팀들은 2026년 남은 기간 동안 CVE-2026-109618과 CVE-2026-109619의 악용 상황을 계속 추적할 예정이다. 웹사이트 운영자는 10월 21일자 패치가 적용됐는지 즉시 확인해야 한다. 한편 스테이블코인 수익에 관한 OCC의 첫 GENIUS 법 규정은 2027년 1월 18일부터 시행되는데, 이는 크립토의 보안 이슈와 규제 일정이 나란히 흘러가고 있음을 보여주는 또 다른 사례다.
