인증 없이 공격 가능
공격자가 로그인하지 않고 조작된 HTTP 요청으로 원격 코드 실행을 시도할 수 있습니다.
EMERGENCY SECURITY ADVISORY · OCT 2026
PHP 원격 코드 실행(RCE)
긴급 보안 업데이트 권고
PHP에서 인증 없이 원격 코드 실행이 가능할 수 있는 치명적 취약점 2건이 공개되었습니다. PHP 기반 웹서비스를 운영 중이라면 영향 여부를 확인하고 보안 패치를 즉시 적용하시기 바랍니다.
CVE-2026-109618CVE-2026-109619
CVSS v4.0CRITICAL
9.2/ 10
로그인 없이 공격 가능
공개된 공격 코드 및 공격 시도 관측
공식 보안 수정 버전 배포 완료
안녕하세요, SM 솔루션즈입니다.
2026년 10월 21일, PHP 보안팀은 CVE-2026-109618 및 CVE-2026-109619 취약점을 공개했습니다. 이 취약점은 PHP를 사용해 웹 요청을 처리하는 서버에 영향을 줄 수 있으며, 실제 공격 시도도 관측되고 있습니다. 고객사의 신속한 현황 파악과 피해 예방을 위해 주요 내용과 권고 조치 사항을 안내드립니다.
01 · SECURITY IMPACT
이번 취약점이 위험한 이유
문제는 애플리케이션 코드가 아니라 PHP 실행 환경 자체에서 발생합니다.
다양한 PHP 서버에 영향
Apache mod_php, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 처리하는 환경에 영향을 줍니다.
실제 공격 시도 관측
Cloudflare는 10월 21일 공격 트래픽을 관측했다고 밝혔으며, 공개된 공격 코드도 확인되었습니다.
02 · VULNERABILITY DETAILS
취약점 상세
두 취약점 모두 PHP 코어의 메모리 및 요청 상태 처리와 관련되어 있습니다.
VULNERABILITY 01CVSS 9.2
CVE-2026-109618
Out-of-Memory 처리 오류
메모리 부족(OOM) 상황에서 PHP가 초기화되지 않은 요청 데이터를 잘못 처리해 메모리 손상이 발생할 수 있는 취약점입니다. 이를 이용해 원격 코드 실행이 가능할 수 있습니다.
특히 주의: Apache mod_php 구성에서는 애플리케이션 코드 실행 전에도 취약 경로가 도달 가능해 위험도가 높습니다.
VULNERABILITY 02CVSS 9.2
CVE-2026-109619
Use-After-Free · 요청 상태 재사용 오류
PHP 워커에 남은 이전 요청의 상태가 해제된 메모리를 참조할 수 있는 취약점입니다. 같은 워커가 후속 요청을 처리하는 과정에서 악용될 수 있습니다.
특히 주의: 워커 재사용 환경에서 문제가 발생할 수 있으므로, 보안 업데이트 후 워커 재시작 여부도 확인해야 합니다.
03 · AFFECTED VERSIONS
영향받는 PHP 버전 및 수정 버전
아래 버전보다 낮은 PHP를 사용 중이라면 즉시 업데이트를 검토하시기 바랍니다.
| PHP 버전 계열 | 영향받는 버전 | 최초 수정 버전 / 권고 조치 |
|---|---|---|
| PHP 8.5 | 8.5.0 ~ 8.5.11 | 8.5.12 이상 |
| PHP 8.4 | 8.4.0 ~ 8.4.26 | 8.4.27 이상 |
| PHP 8.3 | 8.3.0 ~ 8.3.35 | 8.3.36 이상 |
| PHP 8.2 | 8.2.0 ~ 8.2.34 | 8.2.35 이상 |
| PHP 8.1 및 이전 | 지원 종료된 구버전 | 지원 버전으로 업그레이드 또는 배포판 보안 백포트 확인 |
※ Linux 배포판 또는 LTS 공급업체는 기존 버전 번호를 유지하면서 보안 수정 사항을 백포트할 수 있습니다. 버전 문자열만으로 패치 여부를 단정하지 말고 공급업체 보안 공지와 설치 패키지 이력을 함께 확인해 주세요.
04 · IMMEDIATE ACTION
고객사 즉시 조치 권고사항
자산 식별부터 업데이트 및 사후 점검까지 아래 순서로 확인해 주세요.
01
PHP 사용 자산 및 실행 환경 확인
외부 노출 웹서버, 내부 시스템, 컨테이너 이미지와 어플라이언스에 포함된 PHP를 확인합니다. php -v로 CLI 버전을 확인하되, 실제 웹서버의 PHP 런타임 버전은 별도로 확인해야 합니다.
02
공식 보안 수정 버전 적용
PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 이상의 보안 수정 버전으로 업데이트합니다. 구버전 사용 시 지원되는 계열로 업그레이드하거나 운영체제·공급업체가 제공하는 보안 백포트를 적용합니다.
03
서비스 재시작 및 정상 동작 검증
업데이트 후 PHP-FPM, Apache 등 관련 서비스와 모든 PHP 워커에 수정 사항이 적용됐는지 확인합니다. 웹서비스 기능, 업로드 기능, 세션 및 주요 비즈니스 기능을 점검합니다.
04
공격 흔적 및 보안 상태 모니터링
웹서버·WAF 로그의 비정상 HTTP 요청, 예기치 않은 PHP 프로세스 종료, 이상 프로세스 실행을 점검합니다. 외부 자산 스캔 결과만으로 패치 적용 여부가 확정되지 않으므로 내부에서 직접 검증합니다.
추가 참고 (2026.10.23): PHP 프로젝트는 세션 업로드 진행 기능과 관련된 별도 보안 안내를 게시했습니다. 최신 PHP로 업데이트한 경우에도 해당 기능을 사용한다면 session.upload_progress.enabled=0 권고사항을 별도로 확인해 주세요. PHP 공식 추가 공지 보기 ↗
SM SOLUTIONS · SECURITY SUPPORT
신속한 대응이 피해를 최소화합니다.
SM 솔루션즈는 고객사의 취약점 현황 확인 및 대응을 지원합니다. PHP 보안 취약점과 관련하여 추가 점검이나 기술 상담이 필요하시면 문의해 주시기 바랍니다.
보안 상담 문의하기 sales@smsolus.comREFERENCES
공식 참고 자료
취약점 세부 내용 및 최신 업데이트는 아래 기관의 공식 공지를 확인해 주세요.