PHP 원격코드 취약점에 KISA 긴급조치 권고, 서버 관리자가 바꿀 설정은?

한국인터넷진흥원(KISA)은 2026년 10월 24일, PHP 서버의 원격코드 실행 취약점에 대한 임시조치를 권고했다. 정식 보안패치가 아직 나오지 않은 만큼, 해당 조건에 놓인 서버는 설정을 바꿔 취약 기능을 꺼야 한다.

PHP 개발 조직인 The PHP Group은 하루 전인 23일 취약점(CVE-2026-115560)의 임시 대응 방안을 공개했다.

취약점은 웹사이트 이용자의 접속 상태를 유지하는 ‘세션’을 처리하는 과정에서 발생한다. 악용에 성공하면 외부에서 서버에 명령을 내리거나 프로그램을 실행할 수 있고, 서버 내부 정보에 접근하거나 악성코드를 실행하는 추가 피해로 이어질 수 있다. 다만 PHP 서버라고 모두 위험한 것은 아니다.

웹사이트가 접속 정보를 저장하는 방식을 프로그램 실행 중 바꾸면서, 파일 업로드 진행 상황을 관리하는 기능도 켜 둔 경우에 취약점이 발생한다. 개발진은 이런 설정 조합이 일반적인 운영 환경에서는 흔하지 않아 실제 악용 가능성이 낮다고 설명했다.

관리자는 PHP 설정 파일인 php.ini 또는 PHP-FPM 설정에서 ‘session.upload_progress.enabled’ 값을 ‘0’으로 바꾸면 된다. 설정 변경만으로 끝나는 것은 아니다. PHP 작업 프로세스를 모두 재시작해야 조치가 적용된다.

이 기능을 끄는 이유는 파일 업로드 진행 상황을 관리하는 기능이 취약점 발생 조건에 포함되기 때문이다.

기존 보안 업데이트로는 이번 문제를 해결할 수 없으며, PHP 개발진은 영향을 받는 버전과 해결 버전을 아직 공개하지 않았다. 정식 패치는 다음 정기 업데이트에서 제공될 예정이다. 같은 기능을 끄는 조치는 10월 21일 공개된 별도 취약점(CVE-2026-109619)의 임시 대응에도 포함됐다.

당시 권고에 따라 이미 기능을 비활성화한 서버라면 이번 취약점 때문에 추가로 설정을 바꿀 필요는 없다.