업계 소식 — 2026년 10월 22일

1. 웹 서버 NGINX 보안 업데이트 권고

한국인터넷진흥원(KISA)이 10월 20일 F5의 NGINX Open Source와 NGINX Plus 보안 업데이트를 안내했습니다. 메모리를 잘못 다루는 취약점 5건이 한꺼번에 고쳐졌습니다. NGINX는 홈페이지·쇼핑몰·API 서버 앞단에 가장 흔히 쓰이는 웹 서버입니다.

AI Tip 운영 중인 사이트가 NGINX를 쓰는지, 직접 설치한 것인지 클라우드·호스팅 업체가 관리하는 것인지 먼저 확인해 보십시오. 직접 관리한다면 유지보수 업체에 업데이트 일정을 요청하시는 것이 좋습니다.

개발자 메모 CVE-2026-15176·93479·97205·95101·97629. 보호나라 표 기준 NGINX Open Source는 1.30.6 이상 또는 1.31.7 이상, NGINX Plus 37.0.x는 37.0.5.1 이상(CVE-2026-95101은 37.0.7.1 이상)이며 R33~R36은 해결 버전으로 옮겨야 합니다.

원문 보기 — KISA 보호나라

2. 국가정보자원관리원, 입주기관에 보안·재해복구 계획 공유

국가정보자원관리원이 10월 21일 중앙 부처·공공기관 정보화 담당자 300여 명과 입주기관 협의회를 열었습니다. AI를 이용한 해킹에 대비해 행정망 웹 취약점 점검을 넓히고, 민관협력형 클라우드의 보안 관제를 중앙집중형으로 바꾸며, 통합 클라우드 관리형 서비스(MSP) 체제로 전환하는 방안을 밝혔습니다. 재해복구시스템(DR) 구축 현황과 지난 4월 제정된 「행정기관 및 공공기관 정보시스템 안정성 고시」의 준수 사항도 안내했습니다.

AI Tip 공공기관 시스템을 운영하시는 담당자라면 안정성 고시에서 우리 시스템에 해당하는 의무가 무엇인지 정리해 두실 때입니다. 웹 취약점 점검이 늘어나는 만큼, 점검에서 나온 문제를 고칠 유지보수 예산과 일정도 미리 잡아 두시는 것이 좋습니다.

원문 보기 — 행정안전부 보도자료

3. 행안부, 공무원이 만든 AI 도구 경진대회 접수

행정안전부가 「2026년 공공 AI 대전환 챌린지」 참가작을 11월 11일까지 받습니다. 결선은 11월 25일 고양 킨텍스 정부혁신박람회에서 열리고, 우수작은 여러 기관이 함께 쓰는 공공 서비스로 만드는 방안을 추진합니다. 보도자료에 따르면 10월 8일 기준 「AI 정부 실험실」 공공 저장소에 1,086개 과제가 올라와 있고 2,700여 명이 참여하고 있습니다.

AI Tip 담당 공무원이 대화형 코딩으로 직접 만든 도구가 기관 시스템으로 올라오는 흐름입니다. 이런 도구를 정식 운영으로 넘길 때는 개인정보 처리, 접속 권한, 유지보수 주체를 먼저 정해 두셔야 나중에 혼란이 없습니다.

원문 보기 — 행정안전부 보도자료

4. PHP 긴급 보안 업데이트, 해외에서는 사이트 선제 차단까지

PHP 개발팀이 10월 21일(국제 표준시) 위험도 9.2(CVSS v4.0)의 원격 코드 실행 취약점 2건을 고친 버전을 내놓았습니다. 로그인 없이 보낸 요청만으로 서버를 장악할 수 있는 종류여서, 하루 전 미리 공지까지 했습니다. 국내에서도 KISA가 10월 21일 같은 내용의 업데이트를 권고했습니다.

AI Tip 워드프레스·그누보드 등 PHP로 만든 홈페이지나 관리자 화면이 있다면 오늘 업데이트 여부를 확인해 보십시오. PHP 8.1 이하는 공식 지원이 끝나 업데이트가 나오지 않으므로, 이 기회에 버전 전환 계획도 함께 세우시는 것이 좋습니다.

개발자 메모 CVE-2026-109618·109619. 해결 버전은 8.5.12·8.4.27·8.3.36·8.2.35이며, mod_php가 가장 위험하고 PHP-FPM·php-cgi 등도 영향을 받습니다. 공지에 임시 완화책(session.upload_progress.enabled=0 등)이 있지만 업데이트를 대신하지 못한다고 밝혔습니다.

원문 보기 — PHP 공식 공지(영어)

원문 보기 — KISA 보호나라

5. 인증기관 eMudhra 중간 인증서 8개 개인키 유출

미국 Cloudflare가 10월 20일 인증기관 eMudhra의 중간 인증서 8개 개인키가 유출됐다고 알렸습니다. 이 키가 있으면 어떤 도메인의 인증서든 위조해 통신을 가로챌 수 있습니다. 주요 브라우저는 빠른 폐기 방식으로 대응했고, Cloudflare는 자사 서비스에서 실제 악용은 확인되지 않았다고 밝혔습니다.

AI Tip 일반 홈페이지 방문자는 브라우저가 막아 주지만, 서버끼리 통신하는 API·사내 시스템은 별도로 확인이 필요합니다. 인증서 오류가 나더라도 검증을 끄는 방식으로 넘어가지 않도록 유지보수 업체에 당부해 두십시오.

개발자 메모 컨테이너 기본 이미지와 앱 의존성 안의 신뢰 저장소(trust store), 상호 TLS용 CA 목록을 점검하십시오. cloudflared를 쓰면 2026.10.2 이상으로 올리고 이미지를 다시 빌드하라고 안내했습니다.

원문 보기 — Cloudflare 블로그(영어)

6. AWS, 데이터베이스 서버 용량을 미리 잡아 두는 기능 출시

미국 AWS가 10월 21일 Amazon Aurora와 Amazon RDS에 「온디맨드 용량 예약」을 내놓았습니다. 원하는 가용 영역에 DB 서버 용량을 미리 확보해, 생성·복원·확장 때 용량 부족으로 실패하는 일을 줄여 줍니다. 예약한 용량은 쓰지 않아도 온디맨드 요금이 나가며, 바로 쓰는 예약은 언제든 취소할 수 있습니다.

AI Tip 접수 마감이나 행사처럼 접속이 몰리는 날 DB를 키워야 하는 서비스라면, 그 기간만 예약해 두는 방법을 검토해 볼 만합니다. 다만 쓰지 않아도 비용이 나가므로, 예약 기간을 짧고 분명하게 잡는 것이 좋습니다.

원문 보기 — AWS What's New(영어)