PHP 원격 코드 실행 취약점 긴급 패치, 웹 운영사가 확인할 것

오늘의 핵심

PHP의 두 가지 치명적 취약점이 공개돼 긴급 보안 업데이트가 배포됐다. 인터넷에 노출된 PHP 서버는 실행 버전과 호스팅 업체의 패치 적용 여부를 확인하고, 즉시 업데이트하기 어렵다면 외부 접근을 제한해야 한다.

확인된 사실

• PHP의 CVE-2026-109618과 CVE-2026-109619는 인증 없이 원격 코드 실행으로 이어질 수 있는 치명적 취약점이다. 근거 [1] [2] [3]
• PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35에 두 취약점의 수정 사항이 반영됐다. 근거 [1] [2]
• 인터넷 요청을 처리하는 PHP 서버는 실행 방식과 관계없이 노출 여부를 우선 확인해야 한다. 근거 [2] [3]
• 즉시 업데이트할 수 없다면 영향을 받는 인터넷 공개 시스템의 외부 접근을 제한하거나 일시 중단하는 조치가 권고된다. 근거 [2] [3]

왜 중요한가

• PHP는 기업 홈페이지, 쇼핑몰, 콘텐츠 관리 시스템과 사내 관리도구의 서버 구성에 폭넓게 포함돼 있어 직접 개발하지 않은 시스템에도 취약한 런타임이 남아 있을 수 있다.
• 애플리케이션 코드보다 아래 계층인 PHP 런타임의 문제이므로 웹 방화벽이나 로그인 보호만으로는 패치를 대신할 수 없다.
• 호스팅·유지보수 외주 환경에서는 발주사가 실제 운영 버전과 패치 완료 여부를 직접 확인하지 않으면 대응 누락이 장기화될 수 있다.

inxight의 관점

• 이번 대응의 핵심은 대표 서비스 한두 곳의 업데이트가 아니라 운영·개발·스테이징·배치 서버와 컨테이너 이미지까지 포함한 PHP 자산 목록을 빠르게 확정하는 것이다.
• 관리형 호스팅을 사용하더라도 자동 패치 여부, 재시작 필요성, 이미지 재배포 여부를 공급자에게 문서로 확인해야 한다.
• 긴급 업데이트 후에는 비정상 프로세스, 새 계정, 웹 루트 변경, 의심스러운 외부 통신을 점검해 패치 이전 침해 가능성까지 확인해야 한다.

실무 체크리스트

• 운영 서버와 컨테이너에서 PHP 실제 실행 버전을 확인하고 8.5.12, 8.4.27, 8.3.36, 8.2.35 또는 공급사가 제공한 검증된 백포트 패치로 업데이트한다.
• 인터넷에 노출된 PHP 서비스, 관리자 페이지, API, 레거시 사이트를 우선순위별로 목록화하고 담당자와 조치 완료 시각을 기록한다.
• 즉시 패치할 수 없는 시스템은 외부 접근을 제한하거나 일시 중단하고, 호스팅·유지보수 업체에 적용 일정과 임시 완화책을 확인한다.
• 업데이트 후 모든 PHP 프로세스와 관련 서비스를 재시작하거나 이미지를 재빌드한 뒤, 실제 실행 버전과 정상 동작을 다시 검증한다.
• 패치 공개 전후의 웹·시스템 로그를 검토하고 의심 징후가 있으면 자격 증명 교체와 침해사고 대응 절차를 가동한다.