업계 소식 — 2026년 10월 23일

1. PHP 취약점(PHP2Shell) 실제 공격 시도 — KISA·개인정보위가 대응 수칙 안내

지난 글에서 전한 PHP 보안 업데이트와 관련해, KISA가 10월 22일 기업용 대응 수칙을 따로 냈습니다. 패치 전에 취약점 정보가 먼저 퍼졌고 해외에서 공격 시도가 보고되고 있어, 업데이트에 더해 로그 점검과 비밀번호·API 키 교체까지 권고했습니다. 같은 날 개인정보보호위원회도 연결된 DB의 개인정보가 대량으로 빠져나갈 수 있다며 접근권한 최소화와 외주·호스팅 환경 점검을 당부했습니다.

AI Tip 외주로 만든 사이트, 오래 방치된 사이트, 호스팅에 맡긴 사이트까지 PHP를 쓰는 곳을 모두 목록으로 만들고, 관리 업체에 조치 여부를 문서로 확인받아 두시기 바랍니다. 패치 전에 외부에 열려 있던 서버라면 DB·관리자 비밀번호도 바꾸는 것이 안전합니다.

개발자 메모 대상은 CVE-2026-109618·CVE-2026-109619이고 해결 버전은 8.5.12·8.4.27·8.3.36·8.2.35 이상입니다. 업데이트 뒤 PHP-FPM·mod_php 등을 재시작해야 반영되며, 바로 못 올리면 session.upload_progress.enabled=0 등 KISA가 적은 임시 설정을 참고하되 업데이트를 대신하지는 못합니다.

원문 보기 — KISA 보호나라

원문 보기 — 개인정보보호위원회

2. 7대 미래 첨단기술(7대 SEED) 분야별 이행전략 수립 시작

과학기술정보통신부가 10월 22일 관계부처 회의를 열고 7대 SEED 프로젝트의 분야별 목표와 이행전략을 다듬기 시작했습니다. 대상은 소형 모듈 원자로(SMR), 핵융합, 재생에너지, 양자, 우주항공, 첨단바이오, 첨단 공급망 7개 분야입니다. 연구개발에서 끝나지 않고 실증·사업화와 규제 개선까지 묶어 연내 분야별 전략을 마련할 계획입니다.

AI Tip 연내 전략이 나오면 분야별 실증·사업화 과제 공고가 뒤따를 가능성이 큽니다. 에너지 관리, 공급망 관리처럼 우리 업무와 닿는 분야가 있다면 연말 발표를 눈여겨볼 만합니다.

원문 보기 — 과학기술정보통신부(정책브리핑)

3. 국민성장펀드 지원 대상에 우주항공·양자 산업 추가 추진

금융위원회가 우주항공과 양자 산업을 국민성장펀드의 지원 대상 산업에 넣기 위해 한국산업은행법 시행령 개정안을 입법예고했습니다. 의견은 10월 22일부터 12월 1일까지 받습니다. 지원 규모와 세부 요건은 아직 공개되지 않았습니다.

AI Tip 해당 산업의 기업이 정책 자금을 받을 길이 넓어지는 변화입니다. 관련 기업과 일한다면 이 분야의 시스템 구축 수요가 늘어날 수 있다는 정도로 보고, 시행 여부를 지켜보시면 됩니다.

원문 보기 — 금융위원회(정책브리핑)

4. GitLab, 최고 위험 등급 취약점 포함 보안 패치 배포(미국)

미국 GitLab이 10월 21일 자체 설치형 GitLab의 보안 패치를 냈습니다. 고친 문제 12건 가운데 하나는 로그인 없이 원격에서 코드를 실행할 수 있는 최고 등급(CVSS 10.0) 취약점입니다. GitLab.com 은 이미 조치됐고, 회사 서버에 직접 설치해 쓰는 곳만 업데이트하면 됩니다. KISA 보호나라도 10월 22일 같은 내용으로 업데이트를 권고했습니다.

AI Tip 소스 코드 저장소를 회사 서버에 직접 운영하고 있다면 이번 주 안에 업데이트 일정을 잡으시기 바랍니다. 서버가 한 대뿐이면 업데이트 중 잠시 멈추므로 작업 시간을 미리 알리는 것이 좋습니다.

개발자 메모 핵심은 정규식 컴파일러 정수 오버플로 CVE-2026-110264이며, 해결 버전은 19.5.1·19.4.3·19.3.6·19.2.9·19.1.9·19.0.10·18.11.13입니다. LDAP 연동 계정 탈취(CVE-2026-15723)도 함께 고쳐졌습니다.

원문 보기 — GitLab 패치 릴리스(영어)

5. Node.js 보안 릴리스 — 22·24·26 버전 동시 업데이트(미국)

Node.js 개발팀(미국 OpenJS 재단)이 10월 21일 세 버전 계열의 보안 업데이트를 냈습니다. 압축 해제 과정의 메모리 결함과, 인증서 검사를 우회해 다른 서버를 믿게 만들 수 있는 문제 등 높음 등급 4건이 포함됩니다. 지원이 끝난 옛 버전도 영향을 받지만 패치는 나오지 않습니다.

AI Tip 웹 서비스나 사내 도구가 Node.js 로 돌아간다면 개발·운영 업체에 쓰는 버전과 업데이트 계획을 물어보시기 바랍니다. 지원이 끝난 버전을 쓰고 있다면 이번에 전환 일정을 함께 잡는 것이 좋습니다.

개발자 메모 해결 버전은 v22.23.4·v24.22.1·v26.12.1입니다. Brotli 디코더 범위 밖 쓰기(CVE-2026-111497), dns 함수의 NUL 문자 처리(CVE-2026-105482) 등이 고쳐졌고, 인증서 묶음(ca-certs)에서 eMudhra 중간 인증서 건도 반영됐습니다.

원문 보기 — Node.js 보안 릴리스(영어)

6. 구글 클라우드에서 OpenAI 모델 사용 가능해져 — 비공개 미리보기 시작(미국)

미국 구글 클라우드가 10월 22일 자사 AI 모델 목록(Model Garden)에 OpenAI 모델을 추가한다고 밝혔습니다. 우선 일부 기업 고객 대상 비공개 미리보기로 시작하며, 구글 클라우드 마켓플레이스로 구매해 기존 구글 클라우드 청구서와 약정 금액에 합쳐집니다. 구글은 고객 데이터가 정해진 범위 안에 머물고 모델 학습에 쓰이지 않는다고 설명했습니다.

AI Tip 이미 구글 클라우드를 쓰는 회사라면 별도 계약 없이 OpenAI 모델을 시험해 볼 길이 생깁니다. 다만 아직 미리보기 단계이고 국내 리전 제공 여부도 밝혀지지 않았으니, 개인정보가 오가는 업무는 정식 출시와 데이터 보관 위치를 확인한 뒤 검토하시기 바랍니다.

원문 보기 — Google Cloud 블로그(영어)