리소스센터

PHP 원격 코드 실행 취약점 긴급 대응 방안 안내 (CVE-2026-109618, CVE-2026-109619)

등록일: 2026.10.24

[긴급 보안공지] PHP 원격 코드 실행 취약점 2건 | SM 솔루션즈

EMERGENCY SECURITY ADVISORY · OCT 2026

PHP 원격 코드 실행(RCE)
긴급 보안 업데이트 권고

PHP에서 인증 없이 원격 코드 실행이 가능할 수 있는 치명적 취약점 2건이 공개되었습니다. PHP 기반 웹서비스를 운영 중이라면 영향 여부를 확인하고 보안 패치를 즉시 적용하시기 바랍니다.

CVE-2026-109618CVE-2026-109619

취약점 공개 2026.10.21

CVSS v4.0CRITICAL

9.2/ 10

로그인 없이 공격 가능

공개된 공격 코드 및 공격 시도 관측

공식 보안 수정 버전 배포 완료

안녕하세요, SM 솔루션즈입니다.
2026년 10월 21일, PHP 보안팀은 CVE-2026-109618 및 CVE-2026-109619 취약점을 공개했습니다. 이 취약점은 PHP를 사용해 웹 요청을 처리하는 서버에 영향을 줄 수 있으며, 실제 공격 시도도 관측되고 있습니다. 고객사의 신속한 현황 파악과 피해 예방을 위해 주요 내용과 권고 조치 사항을 안내드립니다.

01 · SECURITY IMPACT

이번 취약점이 위험한 이유

문제는 애플리케이션 코드가 아니라 PHP 실행 환경 자체에서 발생합니다.

인증 없이 공격 가능

공격자가 로그인하지 않고 조작된 HTTP 요청으로 원격 코드 실행을 시도할 수 있습니다.

다양한 PHP 서버에 영향

Apache mod_php, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 처리하는 환경에 영향을 줍니다.

실제 공격 시도 관측

Cloudflare는 10월 21일 공격 트래픽을 관측했다고 밝혔으며, 공개된 공격 코드도 확인되었습니다.

02 · VULNERABILITY DETAILS

취약점 상세

두 취약점 모두 PHP 코어의 메모리 및 요청 상태 처리와 관련되어 있습니다.

VULNERABILITY 01CVSS 9.2

CVE-2026-109618

Out-of-Memory 처리 오류

메모리 부족(OOM) 상황에서 PHP가 초기화되지 않은 요청 데이터를 잘못 처리해 메모리 손상이 발생할 수 있는 취약점입니다. 이를 이용해 원격 코드 실행이 가능할 수 있습니다.

특히 주의: Apache mod_php 구성에서는 애플리케이션 코드 실행 전에도 취약 경로가 도달 가능해 위험도가 높습니다.

VULNERABILITY 02CVSS 9.2

CVE-2026-109619

Use-After-Free · 요청 상태 재사용 오류

PHP 워커에 남은 이전 요청의 상태가 해제된 메모리를 참조할 수 있는 취약점입니다. 같은 워커가 후속 요청을 처리하는 과정에서 악용될 수 있습니다.

특히 주의: 워커 재사용 환경에서 문제가 발생할 수 있으므로, 보안 업데이트 후 워커 재시작 여부도 확인해야 합니다.

핵심: 웹 애플리케이션의 로그인 기능이나 일반적인 입력값 검증만으로는 안전을 보장할 수 없습니다. PHP 실행 환경의 보안 패치가 필요합니다.

03 · AFFECTED VERSIONS

영향받는 PHP 버전 및 수정 버전

아래 버전보다 낮은 PHP를 사용 중이라면 즉시 업데이트를 검토하시기 바랍니다.

PHP 버전 계열	영향받는 버전	최초 수정 버전 / 권고 조치
PHP 8.5	8.5.0 ~ 8.5.11	8.5.12 이상
PHP 8.4	8.4.0 ~ 8.4.26	8.4.27 이상
PHP 8.3	8.3.0 ~ 8.3.35	8.3.36 이상
PHP 8.2	8.2.0 ~ 8.2.34	8.2.35 이상
PHP 8.1 및 이전	지원 종료된 구버전	지원 버전으로 업그레이드 또는 배포판 보안 백포트 확인

※ Linux 배포판 또는 LTS 공급업체는 기존 버전 번호를 유지하면서 보안 수정 사항을 백포트할 수 있습니다. 버전 문자열만으로 패치 여부를 단정하지 말고 공급업체 보안 공지와 설치 패키지 이력을 함께 확인해 주세요.

04 · IMMEDIATE ACTION

고객사 즉시 조치 권고사항

자산 식별부터 업데이트 및 사후 점검까지 아래 순서로 확인해 주세요.

PHP 사용 자산 및 실행 환경 확인

외부 노출 웹서버, 내부 시스템, 컨테이너 이미지와 어플라이언스에 포함된 PHP를 확인합니다. php -v로 CLI 버전을 확인하되, 실제 웹서버의 PHP 런타임 버전은 별도로 확인해야 합니다.

공식 보안 수정 버전 적용

PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 이상의 보안 수정 버전으로 업데이트합니다. 구버전 사용 시 지원되는 계열로 업그레이드하거나 운영체제·공급업체가 제공하는 보안 백포트를 적용합니다.

서비스 재시작 및 정상 동작 검증

업데이트 후 PHP-FPM, Apache 등 관련 서비스와 모든 PHP 워커에 수정 사항이 적용됐는지 확인합니다. 웹서비스 기능, 업로드 기능, 세션 및 주요 비즈니스 기능을 점검합니다.

공격 흔적 및 보안 상태 모니터링

웹서버·WAF 로그의 비정상 HTTP 요청, 예기치 않은 PHP 프로세스 종료, 이상 프로세스 실행을 점검합니다. 외부 자산 스캔 결과만으로 패치 적용 여부가 확정되지 않으므로 내부에서 직접 검증합니다.

패치 전 임시 위험 완화 설정

memory_limit = -1PHP 수준의 유한한 메모리 제한을 제거하고, 애플리케이션이 이를 덮어쓰지 못하도록 관리자 설정에서 적용

session.upload_progress.enabled = 0세션 업로드 진행 기능 비활성화 후 모든 워커 재시작

fatal_error_backtraces = 0PHP 8.5만 해당: 치명적 오류 역추적 기능 비활성화 후 모든 워커 재시작

post_max_size애플리케이션 요구사항에 맞춰 요청 본문 크기를 보수적으로 제한

중요: 위 설정은 특정 공격 경로만 줄이는 임시 조치이며 패치를 대체하거나 안전을 보장하지 않습니다. 특히 memory_limit=-1은 PHP 메모리 사용량 증가 위험이 있으므로 서버·컨테이너 자원 제한 및 운영 영향을 함께 검토해야 합니다.

추가 참고 (2026.10.23): PHP 프로젝트는 세션 업로드 진행 기능과 관련된 별도 보안 안내를 게시했습니다. 최신 PHP로 업데이트한 경우에도 해당 기능을 사용한다면 session.upload_progress.enabled=0 권고사항을 별도로 확인해 주세요. PHP 공식 추가 공지 보기 ↗

SM SOLUTIONS · SECURITY SUPPORT

신속한 대응이 피해를 최소화합니다.

SM 솔루션즈는 고객사의 취약점 현황 확인 및 대응을 지원합니다. PHP 보안 취약점과 관련하여 추가 점검이나 기술 상담이 필요하시면 문의해 주시기 바랍니다.

취약점 현황 확인보안 업데이트 검토기술 상담 지원

보안 상담 문의하기 sales@smsolus.com

REFERENCES

공식 참고 자료

취약점 세부 내용 및 최신 업데이트는 아래 기관의 공식 공지를 확인해 주세요.

PHP 공식 보안공지 Cloudflare 공격 관측 및 WAF 안내 Google Cloud 보안 대응 가이드

리소스센터

PHP 원격 코드 실행 취약점 긴급 대응 방안 안내 (CVE-2026-109618, CVE-2026-109619)

PHP 원격 코드 실행(RCE)긴급 보안 업데이트 권고

이번 취약점이 위험한 이유

인증 없이 공격 가능

다양한 PHP 서버에 영향

실제 공격 시도 관측

취약점 상세

CVE-2026-109618

CVE-2026-109619

영향받는 PHP 버전 및 수정 버전

고객사 즉시 조치 권고사항

PHP 사용 자산 및 실행 환경 확인

공식 보안 수정 버전 적용

서비스 재시작 및 정상 동작 검증

공격 흔적 및 보안 상태 모니터링

신속한 대응이 피해를 최소화합니다.

공식 참고 자료

PHP 원격 코드 실행(RCE)
긴급 보안 업데이트 권고