보안 · 2026년 10월 25일
PHP의 심각한 취약점, 긴급 업데이트 발표
PHP에서 발견된 두 가지 심각한 취약점에 대해 PHP 재단은 발견부터 수정까지의 경과를 설명했다. 일부 문제는 2024년에 파악되었으나, 자원 부족으로 인해 대응이 장기화되었다. 관계자 간의 조정을 통해 정보를 공개할 예정이었으나, 공개 전 정보 유출 등의 혼란이 발생했다고 전했다.
2026년 10월 21일, 원격에서 인증 없이 코드를 실행할 우려가 있는 "CVE-2026-109618"과 "CVE-2026-109619"를 해결하는 업데이트 "PHP 8.5.12", "동일 8.4.27", "동일 8.3.36", "동일 8.2.35"가 발표되었다. PHP를 사용하는 경우 즉시 업데이트할 것을 권장하고 있다.
이번 수정에 대한 경과와 정보 공개 시 발생한 혼란에 대해서도 설명했다. 발견된 문제는 거의 모든 요청에서 사용되는 메모리 관리와 오류 처리와 관련이 있다. 광범위하게 영향을 미치는 심각한 취약점으로, 관계자 간의 조정 및 성능에 대한 영향 등 여러 과제가 겹쳐져 어려운 대응을 요구했다.
"CVE-2026-109618"의 징후는 2024년에 몇 년 만에 실시된 외부 감사에서 지적된 다른 문제를 수정하는 과정에서 파악되었다. 당시부터 악용 가능성이 예상되었으나, 공격 경로는 밝혀지지 않았고, 보다 구체화된 다른 문제에 대한 대응이 우선시되었다.