PHP 원격 코드 실행 취약점 확산, 웹 서버 패치와 재시작 필요

오늘의 핵심

PHP의 두 원격 코드 실행 취약점과 공개 전 공격 시도가 확인됐다. 한국 웹·앱 운영자는 실제 서비스 런타임과 컨테이너 이미지를 점검해 보안 패키지를 적용하고, 모든 PHP 워커를 재시작해야 한다.

확인된 사실

• PHP 프로젝트는 CVE-2026-109618과 CVE-2026-109619을 수정한 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12를 공개했다. 근거 [1]
• 두 취약점은 인증되지 않은 원격 공격자가 조작된 웹 요청을 통해 서버에서 코드를 실행할 수 있는 위험을 갖는다. 근거 [1] [2]
• AWS 위협 인텔리전스는 취약점 공개 나흘 전인 10월 17일에도 관련 악용 시도를 관측했다고 밝혔다. 근거 [3]
• 패치 뒤에도 기존 PHP 프로세스가 남을 수 있으므로 업데이트 적용과 함께 워커 재시작 또는 교체가 필요하다. 근거 [1] [3]

왜 중요한가

• PHP는 기업 홈페이지, 쇼핑몰, CMS와 내부 업무 서비스의 서버 런타임으로 널리 사용돼 단일 취약점의 노출 범위가 크다.
• 공격 요청이 애플리케이션 인증보다 앞선 단계에서 처리될 수 있어 로그인이나 앱 수준 접근제어만으로는 충분하지 않을 수 있다.
• 운영체제 패키지뿐 아니라 컨테이너와 호스팅 사업자가 제공하는 별도 PHP 런타임까지 확인해야 누락을 줄일 수 있다.

inxight의 관점

• 이번 대응의 핵심은 소스코드 수정이 아니라 실제 트래픽을 처리하는 런타임의 버전과 배포 경로를 정확히 찾는 것이다.
• 패치 완료 여부는 관리 서버의 명령줄 버전이 아니라 웹 요청을 처리하는 워커와 컨테이너 이미지 기준으로 검증해야 한다.
• 긴급 업데이트를 서비스 중단 없이 수행할 수 있도록 런타임 자산 목록과 롤링 재배포 절차를 평소 운영 문서에 포함해야 한다.

실무 체크리스트

• 외부에 노출된 PHP 서비스와 PHP-FPM, mod_php, php-cgi, LiteSpeed 및 컨테이너 내장 런타임을 즉시 전수 조사한다.
• 지원 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상 또는 배포판·호스팅 사업자가 명시한 백포트 패키지로 업데이트한다.
• 컨테이너 이미지를 다시 빌드·배포하고 모든 PHP 워커를 재시작하거나 교체한 뒤 실제 서비스 런타임의 버전을 재확인한다.
• 10월 17일 이후의 로그에서 비정상적으로 큰 폼 요청, 메모리 고갈 오류, 예상하지 못한 자식 프로세스 실행 흔적을 우선 점검한다.