PHP 원격 코드 실행 취약점 2건 공개…웹 서버 긴급 업데이트 필요

오늘의 핵심

PHP가 인증 없이 원격 코드 실행으로 이어질 수 있는 치명적 취약점 2건을 수정했다. PHP 기반 웹·앱 운영자는 외부 노출 서버와 호스팅 환경의 버전을 즉시 확인하고, 공식 보안 버전이나 공급업체 패치를 적용해야 한다.

확인된 사실

• PHP는 인증되지 않은 공격자의 원격 코드 실행으로 이어질 수 있는 CVE-2026-109618과 CVE-2026-109619를 공개하고 수정 버전을 배포했다. 근거 [1] [2]
• 영향 범위에는 PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed처럼 웹 요청을 처리하는 PHP 설치가 포함된다. 근거 [1] [2]
• PHP 프로젝트가 제시한 수정 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35다. 근거 [1] [2]
• PHP 8.1 이하는 프로젝트의 공식 업데이트 대상이 아니므로 운영자는 배포판·호스팅·장기지원 공급업체의 백포트 제공 여부를 별도로 확인해야 한다. 근거 [1] [2]

왜 중요한가

• 취약점은 애플리케이션 로그인이나 사용자 인증 이전 단계에서 악용될 수 있어, 일반적인 계정 보안 강화만으로는 위험을 줄이기 어렵다.
• PHP를 직접 관리하지 않는 호스팅·관리형 서비스도 내부 런타임에 PHP를 포함할 수 있어 공급업체의 패치 적용 여부까지 확인해야 한다.
• 노후 PHP를 사용하는 레거시 웹사이트는 공식 수정 바이너리를 바로 받지 못할 수 있어 서비스 격리나 런타임 업그레이드 판단이 시급하다.

inxight의 관점

• 이번 대응의 핵심은 CMS나 프레임워크 버전이 아니라 실제 요청을 처리하는 PHP 런타임과 실행 방식까지 자산 목록에 연결하는 것이다.
• 개발 환경에서 패치 성공 여부만 확인하지 말고 운영 서버, 배치 컨테이너, 이미지 템플릿, 오토스케일 인스턴스가 모두 수정 버전으로 교체됐는지 검증해야 한다.
• 임시 설정 변경은 일부 공격 경로만 줄일 뿐 완전한 해결책이 아니므로, 정식 업데이트를 완료 기준으로 삼아야 한다.

실무 체크리스트

• 인터넷에 노출된 서버부터 PHP 버전과 실행 방식(PHP-FPM, mod_php, php-cgi 등)을 전수 확인한다.
• PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 또는 운영체제·호스팅 공급업체가 제공한 동등한 보안 패치를 적용하고 관련 워커를 재시작한다.
• PHP 8.1 이하 환경은 배포판이나 장기지원 공급업체의 백포트 여부를 확인하고, 제공되지 않으면 지원 버전으로의 업그레이드 또는 외부 노출 차단을 우선한다.
• 패치 후 배포 이미지와 인스턴스를 다시 점검하고, 비정상 웹 요청·프로세스 실행·파일 변경 흔적을 보안 로그에서 확인한다.