핵심 내용
PHP 개발팀은 10월 21일 CVE-2026-109618 및 CVE-2026-109619 두 건의 심각한 원격 코드 실행(RCE) 취약점을 수정한 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 공개했다. 첫 결함은 메모리 부족 상황에서 요청 데이터의 불완전한 초기화와 정리 과정에, 두 번째 결함은 해제된 메모리에 연결된 요청별 상태가 다음 요청까지 남는 문제에 관련된다. 개발팀에 따르면 PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 받는 실행환경이 영향을 받을 수 있으며 특히 mod_php에는 인증 전 공격을 재현한 사례가 있다. PHP 8.1 이하 버전은 상위 프로젝트의 정규 보안지원이 종료됐으므로 배포판의 백포트 제공 여부나 지원 버전으로의 업그레이드를 확인해야 한다.
미국 NSA와 EU ENISA·CERT-EU 등도 긴급 업데이트를 권고했다. PHP 프로젝트는 임시 설정 변경이 일부 공격 경로를 줄일 수 있어도 완전한 대응은 패치 적용이라고 명시한다. 보안 경고와 패치 공개는 확인됐으나 모든 PHP 사이트가 이미 침해됐다고 단정해서는 안 된다.
배경
PHP는 다양한 CMS와 상거래·업무 웹서비스의 서버 처리에 사용되며, 애플리케이션 코드가 실행되기 전 단계의 취약점은 개별 사이트의 입력 검증만으로 막기 어려울 수 있다. 오래된 PHP 런타임이 타사 소프트웨어 안에 포함된 경우도 있다.
산업·시장에 미치는 영향
웹호스팅·CMS·전자상거래 서비스에는 긴급 유지보수 부담이 발생한다. 동시에 첨단 AI 도구가 기존 시스템의 오랜 취약점을 찾아내는 능력이 방어와 공격 양쪽의 속도를 바꿀 수 있다는 점도 부각됐다.
실무에서 바로 활용할 수 있는 시사점
운영 환경에서 PHP 실행 버전과 배포판 패치 상태를 조사하고 인터넷 공개 서버부터 순차 패치해야 한다. 호스팅 상품·도커 이미지·플러그인에 포함된 PHP도 점검한다. 업데이트가 즉시 불가능하면 해당 서비스를 외부망에서 격리하는 방안을 검토하고, 적용 후 기능·로그·침해 흔적을 확인해야 한다. 임시 설정 변경만으로 패치를 대체하지 않는다.
출처
PHP 개발팀 — 2026년 10월 21일 보안 공지 및 수정 버전 ENISA — PHP 취약점 공동 긴급 권고 미국 NSA — PHP 업데이트 권고