PHP 보안 결함 대응 착수, 어떤 버전을 업데이트해야 하나

PHP에서 인증 없이 원격 코드를 실행할 수 있는 보안 결함 2건이 확인돼 한국인터넷진흥원(KISA)이 10월 21일 보안 업데이트를 권고했다.

22일 보도에 따르면 이해민 대통령비서실 AI미래기획 수석도 관련 기관이 대응책을 가동 중이며 상황을 심각하게 보고 있다고 밝혔다.

공격자가 서버를 장악할 수 있는 결함인 만큼, 우선 확인할 것은 운영 중인 PHP 버전이다.

KISA가 밝힌 취약점은 예외 상황을 부적절하게 처리하는 CVE-2026-109618과, 해제한 메모리를 다시 참조하는 CVE-2026-109619다.

PHP 8.2·8.3·8.4·8.5 계열 가운데 각각 8.2.35·8.3.36·8.4.27·8.5.12보다 낮은 버전이 영향을 받는다.

해당 버전 이상으로 업데이트하는 것이 권고되며, 공식 보안 지원이 끝난 8.1 이하 버전은 지원 중인 버전으로 올려야 한다.

이번 취약점은 별도 로그인이나 인증 없이 외부에서 코드를 실행할 수 있다.

위험 범위가 넓은 이유는 PHP가 웹사이트와 워드프레스에 널리 쓰이기 때문이다.

외신은 전체 웹사이트의 약 75%가 PHP를 사용하고, 웹사이트 약 43%가 쓰는 워드프레스도 PHP 기반이라고 전했다.

팔로알토는 전 세계에서 외부에 노출된 PHP 인스턴스가 약 2,200만 개라고 추정하며 즉시 패치를 권고했다.

티오리는 취약점의 위험도를 CVSS v4.0 기준 9.2점으로 평가했고, 개념증명 영상과 패치 적용 바이너리가 공식 보안 권고 전 유출돼 공격 코드 확산을 우려했다.

패치 적용까지 시간이 필요한 서비스에는 임시 방어도 제시됐다.

에버스핀은 자사 웹 보안 솔루션의 SaaS 고객 서비스에 공격 차단 규칙을 적용했고, 공격 요청이 고객사 서버에 도달하기 전 게이트웨이에서 차단되는 것을 검증했다고 밝혔다.

다만 이는 패치를 대신하지 않는다.

티오리도 임시 완화책은 세션 기능 오류를 일으킬 수 있고 완전한 방어가 되지 않는다며, 최신 패치를 우선 적용하고 패치 전에는 설정과 침해 여부를 점검하라고 당부했다.