JAGS 因 PHP 漏洞终止《내 마계를 구해줘!》等两款游戏服务

최근 웹사이트와 온라인 게임 서버 구축에 널리 쓰이는 프로그래밍 언어 'PHP'에서 치명적인 보안 취약점이 발견된 가운데, 일본에서는 점검을 넘어 게임 서비스를 종료하는 사례까지 발생했다.

지난 10월 21일, JAGS는 2011년부터 서비스한 방치형 시뮬레이션 RPG '내 마계를 구해줘!'의 서비스 종료를 발표했다. 통상 서비스 종료는 금전적 문제 혹은 인력의 문제로 발생하지만, 이번 서비스 종료는 최근 PHP의 치명적인 보안 취약점 때문이라는 점이 달랐다. 이와 함께 2011년부터 서비스했다가 2019년 종료 후 유저들의 호응을 받고 서비스를 재개한 여행 시뮬레이션 '월드 퀘스트'도 서비스 종료를 발표했다.

문제가 된 'PHP'는 웹사이트 제작이나 온라인 서비스의 서버 측(백엔드) 개발에 전 세계적으로 가장 널리 쓰이는 범용 프로그래밍 언어 중 하나다. 특히 모바일 및 웹 기반 게임에서는 클라이언트가 보내는 각종 요청(로그인, 아이템 획득, 결제, 스테이지 입장 등)을 실시간으로 처리하고 데이터베이스와 통신하는 API 서버를 구축할 때 핵심 기반으로 폭넓게 활용되고 있다.

사태의 발단은 지난 10월 21일(현지 시각) 공개된 PHP 코어 엔진의 중대한 보안 취약점 'CVE-2026-109618'과 'CVE-2026-109619', 일명 'PHP2Shell'이다. 보안 위협도 평가 기준인 CVSS v4.0에서 9.2점이라는 매우 높은 심각도를 기록한 이 취약점은, 해커가 별도의 인증 없이 외부에서 조작된 요청을 보내는 것만으로 서버의 메모리 처리 결함을 찔러 원격으로 임의의 코드를 실행(RCE)할 수 있는 치명적인 허점을 안고 있다. 자칫하면 서버 제어권을 통째로 탈취당하거나 데이터베이스 내 이용자 기밀 정보가 유출될 수 있는 수준이다.

일본에서는 정보처리추진기구(IPA)와 국가사이버통괄실 등 보안 당국이 즉각 주의 권고를 내리며 경고등을 켠 가운데, 백엔드 인프라에 PHP를 폭넓게 활용해 온 일본 게임 업계도 일제히 비상 체제에 돌입했다. 현재 해당 이슈는 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상에 보안 패치가 적용되면서 어느 정도 잦아든 가운데, 현재 기술 지원이 되지 않는 구버전을 기반으로 한 게임들에서 문제가 발생했다. PHP 버전을 강제로 올릴 경우 하위 호환성 문제가 생겨 기존 게임 코드가 오작동을 일으킬 여지가 있기 때문이다.

이에 두 게임의 운영진은 10년 전의 상당히 오래된 환경에서부터 시작, 수정과 점검을 이어오며 추억을 함께 해왔는데 현 이슈에 안전하게 대응하기 어렵고 유저들에게 위협이 될 수 있어 서비스를 종료할 수밖에 없는 현실이 안타깝다고 토로했다.

이 외에도 국내에서도 서비스 중인 '프린세스 커넥트! Re:Dive', '우마무스메 프리티 더비', '섀도우버스 월즈 비욘드', '어나더 에덴', '헤븐 번즈 레드' 등 여러 게임들이 PHP 보안 취약점 해결을 위해 일제히 긴급 점검에 들어갔다. 이들 중 다수는 최신 서버 환경을 유지하고 있어 방어 조치를 마친 뒤 22일 새벽부터 순차적으로 서비스를 재개했다.

한편, 이번 PHP 이슈는 일본은 물론 국내에서도 대응에 들어갔다. 국내 금융 보안원은 금융사에 보안권고를 발령했으며, 한국인터넷진흥원(KISA)도 각 업계에 보안 업데이트를 권고했다. 과기정통부는 대규모 해킹 가능성에 선제적으로 대응하기 위해 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 상향했다.