최근 보안 사고에 대한 대응: PHP CVE-2026-109618/CVE-2026-109619 및 eMudhra 중간 CA 인증서 침해

이번 주에 두 가지 심각한 보안 사고가 발표되었습니다. PHP 핵심 부분의 취약점 두 가지와 eMudhra 중간 CA 인증서의 침해입니다. 이 게시물에서는 이 사고들이 당사 웹사이트와 EmEditor에 미친 영향, 당사가 취한 조치, 그리고 권장하는 조치를 설명합니다.

요약

• 당사 웹사이트는 PHP 취약점의 영향을 받지 않습니다. 당사 WordPress 사이트가 실행되는 PHP에는 이미 패치가 적용되었으며, 당사는 정적 페이지만 공개합니다.
• EmEditor v22.3부터 v26.3까지는 eMudhra 중간 CA 인증서 침해(eMudhra Intermediate CA Compromise)의 영향을 받습니다. 언어 서버 프로토콜(LSP) 기능을 위해 함께 제공되는 Node.js 때문이며, 영향을 받는 부분은 이것뿐이었습니다.
• EmEditor를 최신 버전(현재 v26.4.0)으로 업데이트하십시오. 최신 버전에는 이 문제를 해결한 Node.js v26.12.1이 포함되어 있습니다.

1. PHP 취약점 CVE-2026-109618 및 CVE-2026-109619

2026년 10월 21일, PHP 프로젝트는 PHP 핵심 부분의 심각한 취약점 두 가지를 발표했습니다. CVE-2026-109618(메모리 부족 시 손상을 통한 원격 코드 실행)과 CVE-2026-109619(오래된 전역 상태를 통한 원격 코드 실행)입니다. 두 취약점 모두 웹 요청을 처리하는 PHP 환경에서 인증 없는 원격 코드 실행을 허용할 수 있습니다.

당사 웹사이트는 PHP에서 실행되는 WordPress로 만들어졌습니다. 당사 웹사이트는 다음 세 가지 방법으로 보호되고 있습니다.

• 당사 WordPress 사이트의 PHP에는 CVE-2026-109618 및 CVE-2026-109619에 대한 최신 패치가 이미 적용되었습니다.
• 당사 WordPress 사이트는 정적 페이지로 내보내며, 당사는 그 정적 페이지만 공개합니다. 공개 웹사이트에서는 PHP가 실행되지 않습니다.
• 원본 WordPress 사이트는 당사 사무실을 제외한 모든 IP 주소에서의 접근이 차단되어 있습니다.

Emurasoft 고객 센터 및 당사의 기타 사이트는 PHP를 사용하지 않으므로 영향을 받지 않습니다.

2. eMudhra 중간 CA 인증서 침해(eMudhra Intermediate CA Compromise)

2026년 10월 20일, eMudhra 중간 CA 인증서 침해(eMudhra Intermediate CA Compromise)가 공개되었습니다. eMudhra 중간 CA 인증서 8개의 개인 키가 침해되었습니다. 이 중간 CA는 주요 운영 체제와 브라우저가 신뢰하는 루트 인증서로 연결되므로, 이 키 중 하나를 가진 공격자는 아직 이를 신뢰하는 클라이언트에 대해 모든 웹사이트나 서비스를 사칭할 수 있습니다. 이 중간 CA 인증서는 이미 해지되었지만, 해지 여부를 확인하지 않는 클라이언트는 소프트웨어 업데이트가 필요합니다.

2-1. EmEditor에서 영향을 받은 부분

EmEditor는 언어 서버 프로토콜(LSP) 기능을 위해 Node.js를 사용하며, Node.js가 이 사고의 영향을 받았습니다. v22.3(2023년 4월 11일 출시)부터 v26.3(2026년 10월 7일 출시)까지 출시된 모든 버전의 EmEditor에는 Node.js가 포함되어 있어 영향을 받습니다. 이는 Professional 버전과 Free 버전, 64비트 버전과 32비트 버전 모두에 해당합니다.

EmEditor v26.4에서는 이 문제를 해결한 v26.12.1로 Node.js를 업데이트했습니다.

2-2. EmEditor의 다른 부분은 영향을 받지 않습니다

EmEditor 소스 코드 전체에 대해 보안 검사를 실시한 결과, 영향을 받는 부분은 LSP뿐이었습니다. Windows가 최신 업데이트 상태라면 EmEditor의 다른 부분에는 취약점이 없습니다.

• EmEditor는 자체 CA 인증서를 포함하지 않고 Windows의 CA 인증서를 사용합니다. 따라서 Microsoft가 Windows를 통해 이미 배포한 해지 정보가 적용됩니다.
• WebPreview 및 ChatAI 플러그인은 PC에 설치된 Microsoft Edge를 사용합니다.
• 당사의 TLS 인증서와 코드 서명 인증서는 모두 eMudhra에서 발급된 것이 아닙니다. EmEditor의 디지털 서명과 당사 웹사이트의 인증서는 영향을 받지 않습니다.

3. 권장 조치

• EmEditor를 최신 버전(현재 v26.4.0)으로 업데이트하십시오. 기존 MSI 설치 관리자를 사용 중인 경우, 도움말 > 업데이트 확인을 선택하거나 최신 버전을 다운로드하십시오. MSI 설치 관리자를 직접 다운로드한 경우에는 디지털 서명이 Emurasoft, Inc.에서 발급되었는지 확인하십시오.
• Windows와 웹 브라우저를 항상 최신 상태로 유지하십시오. WebPreview 및 ChatAI 플러그인이 사용하는 Microsoft Edge도 포함됩니다.

질문이 있으시면 연락해 주십시오.

앞으로도 EmEditor를 계속 사랑해 주시기 바랍니다.
— 에무라 유타카