보안 · 2026년 10월 24일
PHP, 10월 21일 두 건의 심각한 보안 취약점 해결을 위한 긴급 패치 배포 예정
PHP 팀이 두 건의 심각한 보안 취약점을 해결하기 위한 보안 업데이트를 2026년 10월 21일 협정 세계시 14시, 파리 시간으로 16시에 배포할 예정입니다. PHP 팀은 모든 사용자가 새로운 버전이 출시되는 즉시 업데이트를 수행할 수 있도록 미리 준비할 것을 권고했습니다.
이번 취약점들은 공통 취약점 평가 시스템 4.0 기준 10점 만점에 9.2점의 점수를 받았습니다. PHP 팀은 기술적 세부 사항이 공개되거나 실제 공격 사례가 관찰될 경우 배포 시간을 앞당길 수 있다는 가능성을 열어두었습니다. 현재 영향받는 구체적인 버전이나 수정 버전, 그리고 취약점의 구체적인 활용 방법은 공개되지 않았으며, 이러한 세부 정보는 보안 패치와 함께 제공될 예정입니다.
보안 연구 기관인 watchTowr는 CVE-2026-109618과 CVE-2026-109619로 식별되는 두 취약점의 존재를 확인했습니다. watchTowr의 최고 경영자인 Benjamin Harris는 이 취약점들이 실제하며 PHP 5, 6, 7, 8 버전에 영향을 미친다고 밝혔습니다. watchTowr는 CVE-2026-109618을 재현하는 데 성공했으나 패치 출시 전까지 기술적 세부 사항은 공개하지 않았습니다. 현재까지 사이버 범죄자들에 의한 실제 공격 사례는 보고되지 않았습니다.
이와 관련하여 Hacker News 포럼의 삭제된 게시물에서는 PHP 5까지 거슬러 올라가는 다수의 버전에 영향을 미치며, 원격 코드 실행이 가능한 CVSS 10점 수준의 취약점 두 건이 있다고 언급되었습니다. 또한 연구자 Kirill Firsov는 이 취약점들을 php2shell이라고 지칭하며 임시 조치로 PHP의 세션 업로드 진행 기능을 비활성화할 것을 권장했습니다. GMO Flatt Security 역시 분석을 통해 해당 기능과 관련된 메모리 손상 문제일 가능성을 제기하며 동일한 조치를 권고했으나, 패치 전까지 이 방법의 효율성을 100% 보장할 수는 없다고 덧붙였습니다. PHP 팀은 이 가설에 대해 확인하거나 부인하지 않았습니다.