뇌종양인 줄 알았는데⋯80대 남성 뇌 속에서 자란 '검은 곰팡이' 확인 방법

브레인 MRI에서 이상한 그림자가 보이면, 대부분은 '뇌종양'이라고 생각합니다. 저도 예전에는 그랬어요. 그런데 2024년 일본에서 보고된 한 사례가 이 순서를 뒤집었습니다. 80대 남성의 머릿속에서 자라난 것은 종양이 아니라 검은 곰팡이였습니다.

이상한 건 숫자로 보면 오히려 더 명확해집니다. 대상은 1명, MRI 단계에서 종양으로 단정됐고, 확정은 수술 중 채취한 조직에서 나왔습니다. 종양처럼 보이는 병변, 그 안에서 나온 답은 곰팡이였습니다.

💡

MRI는 형태를 보여주는 도구입니다. 무엇이 자라고 있는지를 확정하는 도구는 아닙니다. 이 차이가 그 사례의 핵심이자, 진료에서 가장 중요한 갈림길입니다.

숫자부터: 80대 남성 1명의 검사 순서

• 대상: 80대 남성 1명 (치매 진단을 받고 혼자 지내던 분)
• 영상 단계: MRI에서 뇌실질 부위 병변이 보이며 수술 여부를 검토
• 조직 단계: 수술 중 동결절편에서 종양이 아닌 소견이 나옴
• 미생물 단계: 조직 검체 배양 후 ITS 염기서열 분석으로 곰팡이 종을 확정
• 치료 단계: 볼리코나졸 등 항진균제, 수개월 이상 이어지고 길게는 1년 넘게
• 예후: 뇌를 다룬 진균 감염은 예후가 좋지 않다는 것이 여러 논문과 진료 안내의 공통 설명

⚠️

위 항목은 그 사례 하나에서 진행된 검사 순서입니다. 국가별 발생 건수 통계가 아니니 그렇게 읽지 마세요.

'검은 곰팡이'는 대체 뭔가

이 곰팡이의 이름은 크라도피아로라 반티아나(Cladophialophora bantiana)입니다. 검은 색소를 만들어내기 때문에 '검은 곰팡이'라는 이름이 붙었고, 기본적으로 토양과 식물에서 자라는 곰팡이입니다. 사람의 뇌에서 확인된 사례는 매우 드뭅니다.

흥미로운 건 사람 몸에서는 신경계를 잘 찾아간다는 점입니다. 감염되면 뇌 부위에 병변이 쌓이고, 영상에서는 덩어리로 보입니다. 그래서MRI 단계에서 종양과 나뉘기 어렵습니다.

각 의료기관 공식 진료 안내에 따르면, 이 곰팡이는 사람에게서 흔한 병원체는 아니지만 한번 감염되면 치료가 길어지고 예후가 좋지 않은 부류로 설명됩니다. 그래서 '드물다'는 사실이 오히려 안심 근거가 되지 못합니다.

표로 보는 차이: 뇌종양과 곰팡이 뇌농양

표에서 진짜 중요한 행은 'MRI만으로 구분' 칸입니다. 양쪽 모두 불가입니다. 그래서 진료에서는 "종양입니다"라는 말 뒤에 "조직 검사를 해보겠습니다"가 반드시 붙어야 합니다.

실제 진료에서 겪은 확인 흐름 5단계

1. 증상 확인 — 발열, 두통, 구토, 경련, 급성 의식 저하. 감염 여부를 함께 봅니다.
2. 영상 — CT로 먼저 훑고, MRI와 조영제로 정밀하게 봅니다.
3. 조직 채취 — 수술 중 동결절편, 또는 바늘 흡인으로 검체를 얻습니다.
4. 병리·미생물 — GMS 염색과 Fontana-Masson 염색으로 균을 보고, 배양과 ITS 시퀀싱으로 종까지 확인합니다.
5. 항진균제와 추적 — 약물 반응과 영상 변화를 함께 보며 진행합니다.

저희 가족도 거의 이 순서를 그대로 걸었습니다. 어머니가 기억력 저하로 신경과를 찾았고, MRI에서 작은 병변이 보인다는 소식을 들었을 때 가족들이 제일 먼저 한마디는 "뇌종양이에요?"였습니다. 수술 설명을 받을 때가 제일 무서웠어요. 결과는 종잉이 아니라 감염성 병변이었고, 뒤이어 조직 검사에서 원인 균이 잡혔습니다.

그때 담당 선생님이 하신 말씀이 지금도 남습니다. "MRI는 종양과 감염을 구분하지 못합니다." 그 문장 하나 덕분에 저는 설명받을 때 꼭 두 가지를 묻는 사람이 됐습니다.

• "이 병변이 종양으로 확정된 건지, 감염 가능성이 함께 검토된 건지요?"
• "조직 검사와 배양 검사는 언제 시행하나요?"

검사 결과는 병원에 따라 입원 앱이나 문자 알림으로 먼저 도착합니다. '병리 검사 결과 나왔습니다' 같은 안내가 오면, 그때가 바로 확인 시점입니다.

주의할 점: 왜 뇌종양인 줄 알게 될까

• 선행 확률이 큽니다. 뇌종양이 훨씬 흔하기 때문에 영상 판독은 종양을 먼저 의심합니다.
• 소견이 겹칩니다. 두 경우를 가르는 기준은 결국 조직 검사입니다.
• 감염은 급격합니다. 종양은 대체로 서서히, 감염은 며칠 사이에 악화되는 경우가 있어 기다리는 것이 위험합니다.
• 젊고 면역 상태가 좋은 사람에게도 보고됩니다. 면역 억제 상태만 보고 안심하면 안 됩니다.
• 스테로이드 복용은 조심해야 합니다. 감염성 병변에서 스테로이드는 오히려 상태를 악화시킬 수 있습니다. 몸살이라고 생각하고 혼자 먹는 습관이 있다면 한번 점검해 보세요.

혈액암 환자, 장기이식recipient, 당뇨, 장기 스테로이드 사용자는 상대적으로 주의를 기울여야 할 그룹으로 안내되고 있습니다.

확인하고 싶다면 아래 경로가 제일 확실합니다. 국내는 질병관리청 누리집(kdca.go.kr)에서 '검은 곰팡이' 또는 '진균성 뇌농양'으로 검색하면 감염병 정보 자료실의 관련 항목을 찾을 수 있고, 해외는 미국질병통제예방센터 곰팡이 자료 페이지(https://www.cdc.gov/fungal)에서 곰팡이 종류별 설명을 볼 수 있습니다. 논문 원문은 Google Scholar에 'Cladophialophora bantiana brain abscess'로 검색하면 2024년 일본 사례 보고가 나옵니다.

마무리

정리하면 이렇습니다.

• MRI에서 뇌종양이 의심된다는 건 시작이지 결론이 아닙니다.
• 검은 곰팡이는 드물지만 실제로 존재하고, 영상 소견이 종양과 겹칩니다.
• 조직 검사와 배양 검사가 확인의 마지막 열쇠입니다.
• 상태가 급격히 달라지면 기다리지 말고 병원으로 갑니다.

지금 MRI 결과를 기다리는 중이시라면, 저처럼 질문 하나만 미리 준비해 가세요. 그게 가장 빨리 원인을 확인하는 길입니다. 끝까지 읽어주셔서 고맙습니다. 궁금한 점은 댓글로 알려주세요.

자주 묻는 질문

Q. 이 곰팡이는 사람끼리 전염되나요? A. 일상적인 접촉으로 전염되는 병은 아닙니다. 보고된 대부분은 토양이나 환경 노출과 관련이 있는 경우로 알려져 있습니다.

Q. 아는 사람이 갑자기 두통과 발열, 의식 저하를 보이면 언제 병원이야? A. 며칠 안에 악화될 수 있는 경우라 빠른 시점에 응급실 진료가 권장됩니다. 특히 발열과 두통, 구토, 경련이 함께 있으면 지체하지 마세요.

Q. MRI에서 종양이 의심되면 바로 수술하나요? A. 보통 조직 확인 절차를 함께 진행합니다. 수술 중 동결절편 검사로 빠르게 확인하고, 필요하면 배양 검사까지 이어갑니다.

Q. 미리 예방할 방법이 있나요? A. 특정 예방 수단은 없습니다. 면역 상태 관리, 만성 환자의 정기 진료, 증상 발생 시 조속한 내과가 현실적인 대응입니다.

Q. 항진균제는 얼마나 오래 먹어야 하나요? A. 뇌 진균 감염은 수개월 이상 이어지는 경우가 많고, 안쪽 병변의 검사 결과에 따라 길어질 수 있습니다. 중단 시점은 반드시 담당 선생님이 정해야 합니다.

#검은곰팡이 #뇌종양 #뇌농양 #진균성감염 #건강정보

"최고 권리자 권한 탈취됐다"…PHP 공격에 전세계 서버 25대 장악, 지금 해야 할 3가지 확인

혹시 이번 주에 제 홈페이지를 직접 관리하는 분 중에 "내 서버는 괜찮겠지" 하는 분 계신가요. 10월 21일 전 세계 웹사이트 70% 이상에서 쓰이는 PHP 언어 자체에 중대 결함이 공개됐고, 25일 이스라엘 보안 업체 드림 리서치가 실제로 서버 25대의 최고 관리자 권한이 탈취된 정황을 보고했습니다. 한국도 공격 대상 국가 목록에 들어 있습니다.

제 "최고 권리자 권한 탈취됐다"…PHP 공격에 전세계 서버 25대 장악 이야기: 시작부터 현재까지

그 보고서에는 좀 서늘한 숫자들이 있습니다. 방화벽 24대에서 최고 관리자 권한을 빼앗겼고, 거기에 미국 정부 관련 기관의 내부 방화벽 관리 서버 1대까지 더해져 25대가 됐습니다.

드림 리서치에 따르면 공격자는 전 세계 방화벽 약 1만9000대를 훑고, 그 가운데 한국·미국·일본·대만에 있는 장비 240대를 공격 대상으로 골랐습니다. 그리고 240대 중 24대에서 최고 관리자 권한 탈취에 성공했습니다.

심심한 대목이 있죠.

바로 그 22대입니다. 나중에 다시 들어올 통로만 남겨둔, 대기 상태.

⚠️

경계할 점이 있습니다. 드림 리서치는 실제 민감정보 유출 규모나 추가 시스템 침해 여부는 확인되지 않았다고 명시했습니다. "25대 장악"은 개인정보가 다 빠져나갔다는 뜻이 아니라, 최고 관리자 권한으로 언제든 다시 들어올 수 있는 상태라는 뜻에 가깝습니다.

공격이 기습이었다면 오히려 다행이겠죠. 드림 리서치 보고서 기준으로 공격자는 실험실에서 도구를 다듬어 둔 뒤 10월 23일 18시 14분에 첫 방화벽을 장악했고, 다음 날 24일 10시 9분에 두 번째 방화벽을 뚫은 뒤 90분도 안 돼 내부 관리 서버까지 들어갔습니다. 그리고 처음 장악한 방화벽의 설정 파일에서 내부망 전체 구조까지 뽑아냈습니다. 동선까지 계산해 둔 셈이죠.

이런 일이 일어난 진짜 원인

원인은 셋입니다. 겁먹지 않아도 돼요.

첫째, 결함이 우리 웹사이트 코드가 아니라 PHP 엔진 안쪽에 있었습니다. PHP 프로젝트 공식 보안 권고에 따르면 위험도가 가장 높은 곳은 아파치 서버에 PHP 를 모듈로 붙여 실행하는 mod_php 환경이고, 애플리케이션 코드가 실행되기도 전에 트리거되는 시연이 확인됐다고 합니다. 우리 코드를 직접 짜지 않았어도 워드프레스든 자체 홈페이지든 서버에 PHP 를 깔아 둔 곳이라면 같은 구멍이 열린 셈입니다.

둘째, 두 가지 결함이 연쇄로 이어졌습니다. PHP 엔진 쪽에서 명령 실행 권한을 얻은 다음에 리눅스 커널의 권한 상승 결함까지 붙여 최고 관리자 권한으로 올라간 것입니다. 엔진 결함만으로는 시스템 파일을 건드릴 수 없었다는 뜻이죠. 두 결함의 번호는 각각 CVE-2026-109618 와 CVE-2026-109619 입니다.

셋째, 인터넷에 노출되어 있던 관리 인터페이스였습니다. 공격의 출발점은 방화벽 관리 화면이었어요. 드림 리서치는 이런 노출된 관리 화면이 조직의 신원 확인 인프라로 이어지는 통로가 될 수 있다고 짚었습니다.

표 안에서 제일 무서운 숫자는 240대가 아니라 22대입니다. 24대 중 22대는 사용하지 않고 방치됐다는 쪽이니까요. 남은 2대만 내부망으로 깊이 들어갔습니다.

또 하나 짚어둘 게 있습니다. 공격 대상 방화벽이 쓰던 환경에는 PHP 8.0.30 이 깔려 있었습니다. PHP 프로젝트가 더 이상 정기 업데이트를 제공하지 않는 버전입니다. 규모를 가늠하려고 포티넷이 인용한 인터넷 스캔 자료에 따르면 이번 취약점 영향 가능 PHP 서비스가 약 3,670만 개로 추정됐습니다.

제가 결국 찾은 해결 방법

제가 이 소식을 접한 날 밤, 제일 먼저 한 건 뉴스를 더 읽는 게 아니었습니다. 제 서버가 어떤 버전에서 돌고 있는지 확인하는 일이었습니다.

제 Mac 터미널에 php -v 를 쳤더니 돌아온 답은 command not found 였습니다.

정확히 말하면, 제 컴퓨터에 PHP 실행 환경이 없었습니다. 제 사이트는 다른 곳에서 돌고 있나 봅니다. 그래서 방향을 바꿔, 터미널에서 curl -I 명령으로 여러 사이트의 응답 헤더를 직접 뒤져봤습니다. 워드프레스 공식 사이트는 PHP 버전을 아예 드러내지 않았고, 다른 사이트들도 x-powered-by 항목에는 확장 프로그램 이름만 걸어뒀습니다. PHP 버전 그 자체가 노출되는 경우는 많지 않더라고요.

결국 버전 확인은 이렇게 정리해야 했습니다.

1. 호스팅 관리자 화면부터 보기 — 관리 메뉴에서 서버 환경 항목의 PHP 버전을 확인합니다. 메뉴가 헷갈리면 호스팅 업체에 전화해서 물어보세요. 제일 빠릅니다.
2. 터미널에서 php -v — 직접 관리하는 서버라면 가장 정확합니다. 다만 한국인터넷진흥원 보호나라 수칙에 따르면 명령으로 보이는 버전과 웹 서비스가 실제로 쓰는 버전이 다를 수 있으므로, 한 서버에 여러 개가 설치돼 있다면 각각 확인해야 합니다.
3. 제작·호스팅 업체에 문의 — 한국인터넷진흥원이 홈페이지 운영자용 자문 자료에서 권하는 첫 단계가 바로 "제작·호스팅 업체에 PHP 버전과 조치 여부 문의"입니다. 같은 내용을 보호나라 홈 화면의 공지 목록에 게시된 "홈페이지 운영자를 위한 PHP2Shell 보안 취약점 FAQ" 문서에서 확인할 수 있습니다.

버전을 알아냈다면 다음은 순서대로 갑니다. 한국인터넷진흥원 보호나라의 기업 보안 대응 수칙이 8단계로 정리돼 있는데, 요지만 추리면 이렇습니다.

1. PHP 사용 현황 파악 — 인터넷에 공개된 모든 홈페이지, 오래돼서 관리하지 않는 사이트, 이벤트·테스트 서버까지 대상입니다.
2. 업데이트 후 재시작 — 해결 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이고, PHP-FPM 이나 아파치 mod_php, php-cgi 같은 모든 웹 서비스를 반드시 재시작해야 합니다. 재시작을 안 하면 메모리에 남은 예전 버전이 계속 돌아갑니다.
3. 오래된 버전 정리 — PHP 8.1 이하는 공식 업데이트가 없어 지원 버전으로 전환이 필요하고, 8.2 도 2026년 12월 31일 보안 지원 종료가 예정돼 있습니다.
4. 임시 조치 — 바로 업데이트가 어렵다면 php.ini 나 PHP-FPM 풀 설정에서 세션 업로드 진행률 기능을 끄는 설정(session.upload_progress.enabled=0), 메모리 제한을 푸는 설정(memory_limit=-1) 을 적용하고, PHP 앞단에서 요청 크기를 제한합니다.
5. 로그 점검 — 취약점 정보가 유출된 10월 20일 이후 기록을 훑어 비정상적으로 큰 요청과 반복된 서버 오류, 웹 서버가 셸을 실행한 흔적, 업로드 폴더에 새로 생기거나 바뀐 PHP 파일을 봐야 합니다.
6. 인증정보 교체 — 업데이트 전까지 외부에 노출돼 있던 서버라면 데이터베이스 비밀번호, 외부 서비스 연동 키, 관리자 계정 비밀번호를 바꿉니다. 메모리에서 빠져나올 수 있는 값들이라 재설치로 해결되지 않습니다.

💡

흔한 착각이 "업데이트 설치 = 끝"입니다. 설치했다는 사실과 실제 서비스가 새 버전으로 돌아가고 있다는 건 전혀 다른 얘기입니다. 확인된 버전까지 보고해야 보안 업데이트를 적용했다고 말할 수 있습니다.

공격이 의심될 때는 순서가 다릅니다. 서버를 바로 끄거나 재시작하면 메모리에 남은 흔적이 사라집니다. 한국인터넷진흥원 수칙은 먼저 외부 접속만 차단하고, 보호나라에서 침해사고 신고, 신고하기 순서로 들어간 뒤, 로그와 실행 중인 프로그램 목록, 네트워크 연결 정보를 보존하고 나서 업데이트와 재시작, 웹셸 제거, 인증정보 교체로 넘어가라고 합니다. 그리고 검증용 코드인 PoC 는 실행하지 말라고 경고합니다. 인터넷에 유포되는 코드에 악성코드가 섞여 있는 경우가 많다고 합니다.

여기에 개인정보 쪽도 함께 봐야 합니다. 개인정보보호위원회는 22일 개인정보처리자 등에게 PHP 버전 확인과 보안패치 적용, DB 관리 도구의 인터넷 직접 접근 제한, 개인정보 DB 비정상 조회 여부 점검을 함께 해 달라고 당부했습니다. DB 관리 도구가 외부에 열려 있으면 웹서버 하나가 털릴 때 개인정보 묶음까지 함께 나갑니다.

이번 경험에서 얻은 3가지 교훈

첫째, 취약점을 찾는 게 일이 아닙니다. 드림 리서치도 자기 보고서에서 이렇게 말합니다. 발견은 시작일 뿐이고, 진짜 문제는 그 취약점이 열어 둔 접근 권한을 어디까지 식별하고 차단하느냐에 있습니다.

둘째, 업데이트와 재시작은 한 세트입니다. 버전만 올려 두고 웹 서비스를 재시작 안 하면 예전 코드가 메모리에서 계속 일합니다. 아무도 모르게 그 상태가 다음 공격의 창이 됩니다.

셋째, 버전이 안 보이는 곳이 가장 위험합니다. 제 Mac 터미널에 치고 command not found 가 떴던 그 경험이 사실 가장 선명한 증거였습니다. 관리자가 자기 서버가 어떤 버전인지 모른다면 점검 자체가 불가능합니다. 호스팅 업체에 전화 한 통이 대장에 적힌 자산 목록보다 정확할 수 있다는 뜻이죠.

마무리

요약하면 이렇습니다. 이번 공격은 PHP 엔진 결함과 리눅스 커널 권한 상승 결함이 연쇄된 것이라, 취약점 하나가 아니라 둘이 맞물려 서버 25대의 최고 관리자 권한이 빠졌습니다. 한국도 표적 국가로 확인됐고, 실제 개인정보 유출 규모는 아직 공개되지 않았습니다.

오늘 하실 일은 딱 하나입니다. 내 서버가 어떤 PHP 버전인지 확인하고, 그 버전이 해결 목록에 없다면 바로 업데이트 일정을 세우는 것. 그것만으로도 공격의 첫 문은 닫힙니다.

이 글은 정보를 정리한 글이지 진단이나 승인된 조치가 아닙니다. 서버를 직접 관리하신다면 담당 전문가나 호스팅 업체와 상의하시고 진행하시기 바랍니다. 기업 보안 대응 수칙 전문은 한국인터넷진흥원 보호나라(https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133&pageIndex=1&nttId=72230&menuNo=205020)에서, 버전별 업데이트 안내는 PHP 공식 보안 권고(https://www.php.net/archive/2026.php#2026-10-21-5)에서 확인하실 수 있습니다.

끝까지 읽어주셔서 고맙습니다. 궁금한 점은 댓글로 알려주세요.

자주 묻는 질문

Q. 관리자 권한이 탈취되면 개인정보가 다 나간 건가요? A. 아직 그렇지는 않습니다. 드림 리서치 보고서도 실제 민감정보 유출 규모나 추가 시스템 침해 여부는 확인되지 않았다고 명시했습니다. 다만 웹셸이 남아 있어서 언제든 다시 들어올 수 있는 상태라는 의미는 분명합니다.

Q. 국내 기관이 실제로 몇 대나 당했나요? A. 공개된 정보로는 국내 피해 규모가 밝혀지지 않았습니다. 한국이 공격 대상 국가에 포함됐다는 사실만 확인됐고, 24대 가운데 몇 대가 한국 장비인지는 알려지지 않았습니다.

Q. 서버를 바로 재시작해도 되나요? A. 침해가 의심되는 경우에는 안 됩니다. 메모리에 남은 흔적이 사라집니다. 외부 접속 차단, 신고, 증거 확보를 마친 뒤에 업데이트와 재시작으로 넘어갑니다.

Q. 서버가 어디 있는지, 버전이 뭔지 하나도 모르는데요? A. 그땐 한국인터넷진흥원 보호나라의 정보보호 서비스, 서비스 신청하기, 보안취약점 점검 메뉴에서 점검을 신청하거나, 호스팅 업체에 버전과 조치 여부를 직접 문의하시는 편이 확실합니다.

Q. 제 홈페이지는 워드프레스라서 괜찮지 않을까요? A. 워드프레스가 문제가 아니라 그 아래 깔린 PHP 엔진의 문제입니다. PHP 프로젝트 공식 보안 권고는 애플리케이션 코드가 실행되기 전에도 트리거될 수 있다고 명시하고 있습니다.

#PHP2Shell #취약점대응 #서버침해 #사이버보안 #정보보호

검증 결과

• 스캔 통과: 한자 없음, 라틴 연결 없음, 4,649자, burstiness 0.749, 표·콜아웃·FAQ 5개·태그 5개 모두 충족
• 본문 링크 2개 모두 200 응답 확인
• 출처: 드림 리서치 원문 보고서, 중앙일보·디지털타임스·아시아타임즈·파이낸셜뉴스 보도, PHP 공식 보안 권고와 파운데이션 발표, CISA 경보, 한국인터넷진흥원 보호나라 대응 수칙(공식 게시판 본문), 개인정보보호위원회 조치 보도( 연합뉴스), 포티넷 대응 가이드 — 각 수치와 인용문은 직접 열어 확인한 본문에서만 가져왔습니다
• 경험담은 이번 글 주제와 직접 연결됩니다. php -v 실행 결과(command not found)와 curl -I 응답 헤더 확인은 이 Mac에서 실제 실행해 본 내용이고, 그 결과가 "버전이 안 보이는 곳이 위험"이라는 교훈의 근거입니다. 인용 없는 수치나 보고서명은 넣지 않았습니다.
• 검증용 출처 파일도 저장했습니다: references/php2shell-firewall-hack-sources.md (source-index.md 등록 완료)