최근 보안 사고에 대한 대응: PHP CVE-2026-109618/CVE-2026-109619 및 eMudhra 중간 CA 침해

이번 주에 두 가지 심각한 보안 사고가 발표되었습니다. PHP 코어의 두 가지 취약점과 eMudhra 중간 CA 인증서의 침해입니다. 이 게시물에서는 이러한 사고가 당사 웹사이트와 EmEditor에 어떤 영향을 미쳤는지, 당사가 수행한 조치, 그리고 권장하는 조치를 설명합니다.

요약

당사 웹사이트는 PHP 취약점의 영향을 받지 않습니다. WordPress 사이트가 실행되는 PHP는 이미 패치되었으며, 당사는 정적 페이지만 게시합니다.
EmEditor v22.3부터 v26.3까지는 Language Server Protocol(LSP) 기능을 위해 번들로 제공되는 Node.js를 통해 eMudhra 중간 CA 침해의 영향을 받습니다. 영향을 받은 부분은 이것이 유일했습니다.
EmEditor를 최신 버전(현재 v26.4.0)으로 업데이트하십시오. 이 버전에는 문제를 해결하는 Node.js v26.12.1이 포함되어 있습니다.

1. PHP 취약점 CVE-2026-109618 및 CVE-2026-109619

2026년 10월 21일, PHP 프로젝트는 PHP 코어의 두 가지 심각한 취약점을 발표했습니다. CVE-2026-109618(메모리 부족 손상을 통한 원격 코드 실행)과 CVE-2026-109619(오래된 전역 상태를 통한 원격 코드 실행)입니다. 두 취약점 모두 웹 요청을 처리하는 PHP 설치에서 인증되지 않은 원격 코드 실행을 허용할 수 있습니다.

당사 웹사이트는 PHP에서 실행되는 WordPress로 구축되었습니다. 당사 웹사이트는 세 가지 방식으로 보호됩니다.

WordPress 사이트의 PHP는 CVE-2026-109618 및 CVE-2026-109619에 대한 최신 패치로 이미 업데이트되었습니다.
WordPress 사이트는 정적 페이지로 내보내지며, 당사는 해당 정적 페이지만 게시합니다. 공개 웹사이트는 PHP를 실행하지 않습니다.
소스 WordPress 사이트는 당사 사무실의 IP 주소를 제외한 모든 IP 주소에서 차단됩니다.

Emurasoft 고객 센터와 당사의 다른 사이트는 PHP를 사용하지 않으며 영향을 받지 않습니다.

2. eMudhra 중간 CA 침해

2026년 10월 20일, eMudhra 중간 CA 침해가 공개되었습니다. 8개의 eMudhra 중간 CA 인증서의 개인 키가 침해되었습니다. 이러한 중간 인증서는 주요 운영 체제와 브라우저가 신뢰하는 루트 인증서로 연결되므로, 키 중 하나를 가진 공격자는 여전히 이를 신뢰하는 클라이언트에게 모든 웹사이트나 서비스로 위장할 수 있습니다. 중간 인증서는 해지되었지만, 해지 여부를 확인하지 않는 클라이언트에는 소프트웨어 업데이트가 필요합니다.

2-1. EmEditor에서 영향을 받은 부분

EmEditor는 Language Server Protocol(LSP) 기능을 위해 Node.js를 사용하며, Node.js가 이 사고의 영향을 받았습니다. v22.3(2023년 4월 11일 릴리스)부터 v26.3(2026년 10월 7일 릴리스)까지 릴리스된 모든 EmEditor 버전에는 Node.js가 포함되어 있으며 영향을 받습니다. 이는 Professional 버전과 Free 버전 모두, 그리고 64비트 버전과 32비트 버전 모두에 해당합니다.

EmEditor v26.4에서 당사는 Node.js를 v26.12.1로 업데이트했으며, 이 버전이 문제를 해결합니다.

2-2. EmEditor의 다른 부분은 영향을 받지 않음

당사는 EmEditor 소스 코드에 대한 전체 보안 검사를 수행했으며 LSP만 영향을 받은 부분임을 확인했습니다. Windows 시스템에 최신 업데이트가 설치되어 있는 한 EmEditor의 다른 부분은 취약하지 않습니다.

EmEditor는 자체 인증서를 번들로 제공하는 대신 Windows CA 인증서를 사용하므로 Microsoft가 이미 Windows를 통해 제공한 해지 정보에 의존합니다.
WebPreview 및 ChatAI 플러그인은 시스템에 설치된 Microsoft Edge를 사용합니다.
당사의 TLS 또는 코드 서명 인증서 중 eMudhra에서 발급한 것은 없습니다. EmEditor의 디지털 서명과 당사 웹사이트의 인증서는 영향을 받지 않습니다.

3. 권장 조치

EmEditor를 최신 버전(현재 v26.4.0)으로 업데이트하십시오. 레거시 MSI 설치 프로그램을 사용하는 경우 도움말 > 업데이트 확인을 선택하거나 최신 버전을 다운로드하십시오. MSI 설치 프로그램을 직접 다운로드하는 경우 해당 디지털 서명이 Emurasoft, Inc.에서 발급되었는지 확인하십시오.
Windows와 웹 브라우저를 최신 상태로 유지하십시오. WebPreview 및 ChatAI 플러그인이 사용하는 Microsoft Edge도 포함됩니다.

질문이 있으시면 문의해 주십시오.

EmEditor를 계속 지원해 주셔서 감사합니다.
— 에무라 유타카