KISA, PHP 보안 업데이트 권고…내 서버는 어디까지 올려야 하나

KISA는 10월 21일 웹사이트 제작에 널리 쓰이는 PHP에서 보안 취약점 2건을 확인하고 업데이트를 권고했다. 관리 중인 서버의 PHP 버전이 아래 기준보다 낮다면 취약점에 노출될 수 있어, 운영자는 계열별 최소 업데이트 버전을 확인해야 한다.

취약점은 예외 상황을 제대로 처리하지 못하는 문제(CVE-2026-109618)와, 해제한 메모리를 다시 참조하는 ‘해제 후 사용’ 문제(CVE-2026-109619)다. 두 결함은 별도의 로그인이나 인증 없이 외부에서 임의 코드를 실행하거나 시스템을 장악하는 데 악용될 수 있는 것으로 알려졌다.

따라서 해당 PHP 계열을 쓰는 웹사이트는 표의 기준 버전 이상으로 업데이트해야 한다.

PHP 8.1 이하를 쓰는 경우에는 단순히 패치 버전을 올리는 데 그치지 않고, 공식 보안 지원이 끝난 구버전에서 지원 중인 버전으로 업그레이드해야 한다. 지원 종료 버전은 이후 보안 문제에 대응하는 업데이트를 받을 수 없기 때문이다.

위험의 파급력이 주목받는 배경에는 PHP의 넓은 사용 범위가 있다. W3Techs 집계에서 사용 언어를 식별할 수 있는 웹사이트의 약 75%가 PHP를 쓰며, 전체 웹사이트의 약 43%를 차지하는 워드프레스도 PHP 기반이다.

네덜란드와 핀란드의 일부 정부기관은 예방 차원에서 웹사이트 운영을 중단했고, 유럽·일본·호주 사이버보안 당국도 긴급 업데이트를 권고했다.