PHP 원격코드 취약점 발견, KISA 임시조치 권고…관리자가 바꿔야 할 설정은?

웹사이트 개발에 널리 쓰이는 PHP에서 서버 원격코드 실행(RCE)으로 이어질 수 있는 취약점이 발견됐다.

정식 보안패치가 아직 나오지 않아 한국인터넷진흥원(KISA)은 2026년 10월 24일, 영향을 받을 수 있는 기업과 기관에 서버 설정을 바꾸는 임시조치를 권고했다.

PHP 개발 조직인 The PHP Group은 하루 전인 10월 23일 취약점 CVE-2026-115560의 임시 대응 방안을 발표했다.

문제는 이용자의 접속 상태를 유지하는 세션 처리 과정에서 발생한다.

악용에 성공하면 공격자가 서버에서 임의 명령을 내리거나 프로그램을 실행할 수 있고, 서버 내부 정보에 접근하거나 악성코드를 실행하는 피해로 이어질 수 있다.

다만 PHP 서버라고 해서 모두 취약한 것은 아니다.

웹사이트가 프로그램 실행 도중 이용자 접속 정보를 저장하는 방식을 바꾸는 동시에, 파일 업로드 진행 상황을 관리하는 기능도 켜 둔 경우에 문제가 생긴다.

PHP 개발진은 이 조합이 일반적인 운영 환경에서는 흔하지 않아 실제 악용 가능성이 낮다고 설명했다.

그러나 기존 보안 업데이트로 해결할 수는 없고, 영향을 받는 버전과 수정 버전도 아직 공개되지 않았다.

정식 패치는 다음 정기 업데이트에서 제공될 예정이다.

그 전까지 관리자는 PHP 설정 파일인 php.ini 또는 PHP-FPM 설정에서 session.upload_progress.enabled 값을 0으로 바꿔 파일 업로드 진행 상황 관리 기능을 꺼야 한다.

설정 변경 후에는 PHP 작업 프로세스를 모두 재시작해야 적용된다.

이 조치는 10월 21일 공개된 CVE-2026-109619의 임시 대응에도 포함돼 있어, 해당 기능을 이미 비활성화한 서버라면 이번 취약점 때문에 추가 조치를 할 필요는 없다.