비트고는 자사 플랫폼이 심각한 PHP 취약점의 영향을 받지 않았다고 밝혔다.

사진: Rostislav Uzunov / Pexels

디지털 자산 수탁업체는 심각도 9.2점으로 평가된 취약점에 대한 패치가 배포되는 가운데, 지속적인 보안 테스트와 파트너십을 공로로 꼽았다.

2026년 10월 21일 수요일 · 10:57 EDT · 2분 소요

보안 분야에서

비트고는 2026년 10월 21일 웹 관리자들을 혼란에 빠뜨린 두 건의 치명적인 PHP 취약점으로부터 자사 플랫폼이 안전하다고 밝혔다.

문제가 된 취약점은 CVE-2026-109618 및 CVE-2026-109619로 추적되며, CVSS v4.0 점수는 9.2다.

PHP 결함이 실제로 하는 일

새로 공개된 두 가지 취약점은 인증 없이 원격 코드를 실행하고 메모리를 노출할 수 있게 한다.

원격 코드 실행이란 공격자가 인터넷상의 다른 위치에서 서버가 자신이 선택한 명령을 실행하도록 만들 수 있음을 의미한다. 인증 불필요란 이를 위해 사용자 이름이나 비밀번호가 필요하지 않다는 뜻이다.

메모리 노출 취약점은 공격자가 서버 메모리에 남아 있던, 외부로 유출될 의도가 없었던 데이터를 읽을 수 있게 해주며, 여기에는 민감한 정보가 포함될 수 있다.

이 결함은 PHP 5.x까지 거슬러 올라가는 지원 대상 PHP 버전에 영향을 미치며, 웹 요청을 처리하는 거의 모든 PHP 설치가 노출되어 있다.

PHP 재단은 문제가 드러난 당일인 2026년 10월 21일 패치를 배포했다. PHP를 운영하는 조직들은 즉시 패치하거나 영향을 받은 시스템을 오프라인으로 전환하라는 지침을 받았다.

비트고는 자사가 영향을 받지 않은 이유를 주요 보안 업체들과의 오랜 관계 덕분이라고 설명한다. 이들 파트너십은 취약점을 사전에 식별하고 레드 팀 테스트를 수행하는 데 중점을 둔다.

이 회사는 또한 HackerOne을 통해 공개 버그 바운티 프로그램을 운영하고 있다. 원격 코드 실행 취약점과 고객 자금과 직접적으로 연관된 문제를 발견한 경우 최대 2만 달러의 보상금을 제공한다.

비트고는 또한 연방 인가 디지털 자산 은행으로 자리매김했습니다. 이 회사는 2억 5,000만 달러의 보험 보장을 바탕으로 침해 사고가 전무한 실적을 주장하고 있습니다.

블록체인 거래는 일반적으로 일단 정산되면 되돌릴 수 없다. 그렇기 때문에 서버가 성공적으로 침해당했을 때의 비용은, 예를 들어 소매업체가 고객 이메일 목록을 유출했을 때와는 매우 다르다.

웹 대부분을 구동하는 소프트웨어에 9.2점을 기록한 취약점이 발생하자, 수탁업체 고객들은 신속한 답변을 원했습니다. 비트고는 패치가 나온 당일 답변을 내놓았습니다.

기관 고객에게 비트고의 이번 발표는 보안 태세가 특정 위기가 닥치기 훨씬 전부터 구축된다는 점을 상기시켜 준다. 기업이 CVE가 발표되는 아침에 수년간 쌓아온 레드팀 관계와 공개 버그 바운티 프로그램을 갑자기 마련할 수는 없다.

웹 요청을 처리하는 거의 모든 PHP 설치가 노출된 상황에서, 패치 적용이 늦은 조직은 잠재적 표적이 될 수 있다.

공개 안내: 이 기사는 John Chen이 편집했습니다. 콘텐츠 제작 및 검토 방식에 대한 자세한 내용은 편집 정책을 참조하십시오.