PHP 취약점에 긴급 임시조치 권고…어떤 서버가 위험하고 무엇을 꺼야 하나

웹사이트 개발에 널리 쓰이는 PHP에서 서버의 임의 코드 실행으로 이어질 수 있는 취약점이 발견됐다. 한국인터넷진흥원(KISA)은 정식 보안패치가 나오기 전까지 영향을 받을 수 있는 기업과 기관에 특정 기능을 끄도록 권고했다. 취약점 식별번호는 CVE-2026-115560이다.

문제는 PHP가 이용자의 접속 상태를 유지하는 세션을 처리하는 과정에서 발생한다. 공격에 성공하면 외부에서 서버에 명령을 내리거나 프로그램을 실행할 수 있고, 서버 내부 정보 접근이나 악성코드 실행으로 피해가 이어질 가능성이 있다. 다만 모든 PHP 서버가 대상인 것은 아니다.

웹사이트가 프로그램 실행 중 세션 정보 저장 방식을 바꾸는 동시에 파일 업로드 진행 상황을 관리하는 기능도 켜 둔 경우에만 취약점이 발생한다. PHP 개발진은 이런 조합이 일반적인 운영 환경에서는 흔하지 않아 실제 악용 가능성이 낮다고 설명했다.

정식 패치는 아직 제공되지 않았다. PHP 개발 조직인 The PHP Group은 10월 23일 임시 대응 방안을 발표했으며, 영향을 받는 버전과 해결 버전은 공개하지 않았다. 해결책은 다음 정기 업데이트에서 제공할 예정이다.

그때까지 서버 관리자는 PHP 설정 파일인 php.ini 또는 PHP-FPM 설정에서 ‘session.upload_progress.enabled’ 값을 ‘0’으로 바꿔 파일 업로드 진행 상황 관리 기능을 비활성화해야 한다. 설정 변경 뒤에는 PHP 작업 프로세스를 모두 재시작해야 조치가 적용된다.

이 임시 대응은 10월 21일 공개된 CVE-2026-109619의 조치에도 포함돼 있다. 따라서 해당 취약점에 대응해 이미 같은 기능을 꺼 둔 서버라면 이번 건으로 추가 설정을 바꿀 필요는 없다.

관리자가 확인할 핵심은 PHP를 쓰는지 여부만이 아니라, 세션 저장 방식 변경과 업로드 진행 상황 관리 기능이 함께 활성화돼 있는지다.