요약:
PHP 개발팀은 두 가지 심각한 보안 취약점을 해결하기 위해 2026년 10월 21일에 긴급 보안 업데이트를 공식 출시했습니다. 이 두 가지 취약점의 번호는 각각 CVE-2026-109618 및 CVE-2026-109619입니다. 둘 다 심각한 것으로 평가되었으며 공격자가 로그인하지 않고도 원격으로 코드를 실행할 수 있도록 허용할 수 있습니다. 관계자는 서버 공격을 피하기 위해 모든 PHP 사용자가 즉시 복구된 버전으로 업그레이드할 것을 강력히 권장합니다.
이번에 출시된 수정 버전에는 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35가 포함됩니다. 관계자들은 이 취약점이 PHP-FPM, mod_php가 있는 Apache, php-cgi, FrankenPHP 및 LiteSpeed를 포함하여 네트워크를 통해 요청을 처리하는 PHP 배포 환경에 영향을 미친다고 지적했습니다. PHP 팀은 애플리케이션 코드가 실행되기 전에 공격자가 공격을 촉발할 수 있다는 시연이 있었기 때문에 Apache mod_php 사용에 따른 환경적 위험이 특히 우려된다는 점을 특히 강조했습니다.
첫 번째 취약점인 CVE-2026-109618은 메모리 고갈 처리 메커니즘과 관련이 있습니다. PHP에서 메모리가 부족하면 프로그램은 내부 요청 데이터가 완전히 초기화되지 않았을 때 처리 흐름을 중단한 다음 리소스를 정리할 때 이러한 유효하지 않은 데이터를 유효한 데이터로 사용할 수 있습니다. 이러한 비정상적인 상태는 메모리 손상으로 이어질 수 있으며 특정 조건에서 추가로 악용되어 궁극적으로 원격 코드 실행이 가능합니다.
두 번째 취약점인 CVE-2026-109619는 해제된 메모리 및 만료된 내부 상태와 관련이 있습니다. 현재 요청에 속한 일부 내부 상태는 해당 메모리가 해제된 후에도 여전히 남아 있을 수 있습니다. 동일한 작업자 프로세스에서 처리하는 후속 요청은 일반 초기화가 이러한 상태를 재설정하기 전에 오래된 데이터를 사용하여 보안 문제를 일으킬 수 있습니다. 두 취약점 모두 공격자가 원래 프로그램 실행 경계를 뚫을 수 있도록 허용할 수 있습니다.
두 취약점의 CVSS v4.0 점수는 9.2로 심각한 수준입니다. 위험은 공격자가 특정 네트워크 요청을 조작하여 취약점을 유발하기 위해 유효한 계정, 비밀번호 또는 기타 인증 자격 증명이 필요하지 않을 수 있다는 것입니다. 공격이 성공하면 공격자는 추가로 악성 명령을 실행하거나, 데이터를 훔치거나, 악성 프로그램을 심거나, 서버 권한을 이용해 침입 범위를 계속 확장할 수 있습니다.
PHP는 인터넷 애플리케이션에서 가장 일반적인 서버 측 프로그래밍 언어 중 하나이며 동적 웹 페이지 생성, 데이터베이스 상호 작용 및 백그라운드 비즈니스 처리에 널리 사용됩니다. WordPress와 같은 콘텐츠 관리 시스템도 PHP를 사용하여 실행되므로 이 취약점은 특정 웹 사이트 플랫폼뿐만 아니라 기본 운영 환경에도 영향을 미칩니다. 웹사이트에서 WordPress 핵심 프로그램과 플러그인을 업데이트했더라도 서버의 PHP 버전이 여전히 취약한 한 웹사이트는 계속해서 위험에 노출될 수 있습니다. WordPress 관계자는 또한 WordPress 핵심 업데이트를 출시하여 이 문제를 해결할 필요가 없음을 분명히 했습니다. 웹사이트 소유자는 실제 실행 중인 PHP 환경을 확인하고 업데이트해야 합니다.
PHP 8.2 이상의 지원 버전을 사용하는 웹사이트의 경우 관리자는 가능한 한 빨리 해당 복구 버전을 설치해야 합니다. 아직 PHP 8.1 및 이전 버전을 사용하는 사용자는 특별한 주의가 필요합니다. 이러한 버전은 더 이상 PHP 프로젝트에서 직접 제공하는 보안 업데이트를 받지 않습니다. 그러나 일부 Linux 배포판, 장기 지원 제공업체 또는 기타 공급업체는 롤백 패치를 제공할 수 있으며 관련 사용자는 소프트웨어 공급업체에 수정 사항이 있는지 확인해야 합니다.
보안 기관은 이전에 웹사이트가 취약점을 제때에 해결할 수 없는 경우 일시적으로 외부 액세스를 제한하고 필요한 경우 시스템을 오프라인으로 전환하는 것을 고려해야 한다고 경고한 바 있습니다. 이 취약점의 공개로 인해 많은 국가와 지역에서도 긴급 대응이 촉발되었습니다. 일부 유럽 정부 기관은 잠재적인 위험을 줄이기 위해 패치가 출시되기 전에 웹사이트를 폐쇄하는 조치를 취했습니다. 로이터 통신은 네덜란드와 핀란드의 일부 정부 기관이 예방 조치를 취했다고 보도했는데, 이는 이번 보안 사고가 공용 네트워크 서비스에 가한 실제 압력을 반영한 것입니다.
PHP의 공식 긴급 패치 출시는 이전에 경고 단계에 있던 보안 문제가 실제 복구 단계에 돌입했음을 의미합니다. 웹사이트 운영자에게 지금 가장 중요한 작업은 서버가 실제로 실행 중인 PHP 버전을 확인하고, 호스팅 제공업체가 업데이트를 배포했는지 확인하고, 시스템에 비정상적인 프로세스, 무단 파일 수정 또는 의심스러운 네트워크 연결이 있는지 확인하는 것입니다.
웹사이트 보안은 애플리케이션 자체뿐만 아니라 기본 운영 환경이 적시에 유지되는지 여부에 따라 달라집니다. PHP는 다양한 웹사이트와 서버에 널리 배포되므로 공식 복구 버전을 적시에 설치하는 것이 이 두 가지 심각한 취약점의 위험을 줄이는 핵심 조치입니다.
자세히 알아보기:
https://www.php.net/archive/2026.php#2026-10-21-5
https://www.php.net/downloads.php
댓글