PHP 본체에 외부에서 코드 실행을 통해 발생하는 심각한 취약점이 2건 발견되었습니다. 수정 버전은 일본 시간 10월 21일 23시 공개 예정입니다. 현재 알고 있는 것과 그 시점까지 진행할 사항을 정리합니다.
오늘 저는 최근 읽은 책에 대해 이야기하겠습니다.
이 책은 ‘너는 별이야’라는 소설입니다.
작가는 별준희 씨입니다.
이 소설은 2003년에 발표되었으며 영화화되기도 했습니다.
이야기는 주인공 오노기 료타가 어느 날, 이상한 여성을 만나면서 시작됩니다.
그녀는 마치 별처럼 아름다워 료타의 인생을 크게 바꾸어 놓습니다.
이 소설은 로맨스 소설로서 뿐만 아니라, 철학적인 요소도 담겨 있어 읽을 가치가 있습니다.
특히 ‘너는 별이야’라는 제목이 시사하듯이 인간의 존재 의미와 사랑의 형태에 대해 깊이 생각하게 만드는 작품입니다.
개인적으로 이 소설을 읽고 제 인생을 되돌아보는 좋은 기회가 되었다고 생각합니다.
여러분이 계시다면 이 책을 읽어보시길 바랍니다. 분명 여러분도 무언가 느끼실 것입니다.
- 무슨 일이 일어나고 있는지
- 공식적으로 확정된 사항이며, 아직 추측 단계의 이야기입니다.
- 영향을 받는 사람은 누구인가?
- 정보 유출로 인해 공개가 예정보다 앞당겨졌다.
- 지금 해야 할 일 (수정본 공개 전)
- 수정판이 나오면 해야 할 일을 정리
- PHP 8.1 이전 버전을 사용하고 계신 경우
- 이번 주말에 츠키시 료와 함께 도쿄의 새로운 팝업 스토어에 방문할 예정입니다. 그곳에서 ‘마법의 숲’ 시리즈 신작 ‘마법의 숲: 별빛의 정원’을 만나볼 수 있습니다. 료는 이 시리즈를 매우 좋아하고, 저도 기대하고 있습니다. 팝업 스토어에서는 료와 함께 사진을 찍고, 굿즈를 구경하며 맛있는 간식을 먹으면서 즐거운 시간을 보내고 싶습니다. 료는 특히 ‘마법의 숲’ 캐릭터인 루나를 너무 좋아해서 루나 관련 굿즈를 많이 구매할 계획입니다. 팝업 스토어 운영 시간은 토요일과 일요일 오전 11시부터 오후 7시까지입니다. 료에게 미리 알려주셔서 감사합니다.
- 주요 참고자료
무슨 일이 일어나고 있는지
2026년 10월 20일, PHP 보안팀은 “중대한 취약점 2건을 수정하는 보안 릴리즈를 발표할 예정”이라고 사전 공지했습니다.
보도 자료 및 보안 기업의 분석에서는 이 두 건을 CVE-2026-109618과 CVE-2026-109619로 분류했으며, 모두 원격 코드 실행(RCE) 취약점, 즉 외부 공격자가 서버에서 자신의 코드를 실행할 수 있는 유형의 취약점이라고 설명했습니다. 유출된 공격 도구의 이름은 “PHP2Shell”로도 불립니다.
WordPress, EC-CUBE, Magento, Laravel 등으로 제작된 업무 시스템 등 PHP로 작동하는 서비스는 매우 많습니다. PHP 자체의 문제이므로, 앱을 아무리 정교하게 만들어도 영향을 받을 수 있습니다.
본 기사는 일본 시간 10월 21일 16시 시점의 정보로 작성되었으며, 수정본 공개 후 내용이 업데이트됩니다.
공식적으로 확정된 사항이며, 아직 추측 단계의 이야기입니다.
이번에는 정식 공개 전에 정보가 유출된 탓에, 온라인 상에 상당한 오해가 섞여 있습니다. 나누어 정리하겠습니다.
PHP 공식이 발표하는 것
PHP 공식 뉴스(2026년 10월 20일)에서 다루고 있는 내용은 다음과 같습니다.
- 보안 업데이트를 2026년 10월 21일 14시 UTC에 출시
- 중요한 취약점 2건을 수정합니다. 모두 CVSS v4.0 기준으로 9.2점입니다.
- 모든 PHP 사용자들은 즉시 업데이트될 수 있도록 지금のうち에 준비해 두길 바랍니다.
- 세부 사항이 공개되거나 실제 악용이 확인된 경우 예정보다 빠르게 출시될 수 있습니다.
- 자세한 내용은, 영향 버전에 대한 정보와 수정 버전에 대한 정보를 출시 시 공지합니다.
공식적으로 알려진 시점에서는 CVE 번호 및 해당 기능의 문제점을 명시하지 않습니다.
보안 기업이 전달하는 내용
참고로 10월 21일 현재 최신 버전은 PHP 8.5.11 / 8.4.26 / 8.3.35 / 8.2.34 (모두 2026년 9월 24일 출시)입니다. 소문으로 알려진 수정 버전 번호는 바로 이 다음 번호에 해당합니다.
현재 유행하는 ‘PoC’에 대해서는 언급하지 않겠습니다.
Phoenix Security는 온라인 상에서 유통되고 있는 PoC(Proof of Concept, 공격 실증 코드) 한 묶음을 경고하며, 그 자체로도 악성코드 등 유해한 요소가 될 수 있다고 지적하고 있습니다.
우리 서버에 영향을 줄지 테스트해보고 싶다는 마음은 이해하지만, 출처가 불분명한 공격 코드를 운영 환경이나 사내 네트워크에서 실행하는 것은 절대 하지 마세요. 확인은 공식 영향 버전 정보로 진행하는 것이 안전합니다.
영향을 받는 사람은 누구인가?
공식적인 영향 범위는 아직 발표되지 않았지만, 각 사의 해설을 보시기에 따르면 “PHP를 사용하는 모든 서버는 대상이라고 가정하고 준비하는” 것이 현실적입니다. 또한, Aikido도 “모든 버전이 영향을 받는 것으로 취급해야 한다”고 보고 있습니다.
쉽게 놓칠 수 있는 것은 웹사이트 표와는 별도로 존재하는 내부 관리 화면, 오래된 캠페인 사이트, 그리고 검증 환경입니다. PHP로 만들어져 방치된 서버일수록 업데이트되지 않아 더 공격대에 노출됩니다.
정보 유출로 인해 공개가 조기 진행되었다.
원래는 더 늦은 일정으로 공개할 예정이었던 것이, 정보 유출로 인해 조기 공개된 것으로 전해지고 있습니다.
산세크(Sansec)는 “릴리스(출시)로부터 15분 이내에 대규모 공격이 시작될 수 있다”고 예상하고 있습니다. 수정 버전의 차이점이 공개되면, 그 차이를 통해 공격 방법을 파악당하기 때문입니다. 즉, 이번 경우에는 “공개된 후에 생각하는” 방식으로는 충분하지 않을 가능성이 매우 높으며, 공개 전의 준비가 거의 모든 것이 됩니다.
지금 해야 할 일 (수정본 공개 전)
PHP가 실행 중인 서버를 확인합니다.
먼저 “어디에서 PHP가 실행되고 있는지” 목록을 만들어 보겠습니다. 서버에 넣을 경우, 다음 명령어를 사용하여 버전과 실행 방식을 확인할 수 있습니다.
CLI 환경의 PHP와 웹에서 실행되는 PHP-FPM은 서로 다른 버전을 가질 수 있으므로, 두 가지를 모두 확인해 주세요. Docker를 사용하는 경우 Dockerfile의 FROM php:... 행을 확인합니다.
목록에는 최소 다음 항목을 포함해두면 23시 이후 작업이 순조롭습니다.
- 서버명 및 용도(본번/검증/사내 관리 화면)
- PHP 버전은 8.1입니다.
- 작동 방식(PHP-FPM / Apache의 mod_php / CGI 등)
- 업데이트 담당자 (본사/호스팅 사업자/제작 회사)
- 외부 인터넷으로부터 직접 접근할 수 있는지 확인해 보십시오.
업데이트 계획을 수립해 두세요.
- 누가, 언제, 어떤 순서로 업데이트할지 결정한다. 외부 공개 중인 스테이징 환경부터 먼저 진행한다.
- 운영체제의 패키지로 제공되는 경우(Ubuntu/Debian/RHEL 계열 등)에는 해당 배포판의 업데이트 패키지가 언제 출시될지도 확인한다. PHP 공식 수정판과 동시에 출시되는 것은 아니라고 할 수 있다.
- PHP-FPM의 재시작(재읽기)으로 인해 서비스가 일시적으로 멈출 수 있으니, 관련 담당자에게 사전에 알려주십시오.
- 오늘 안에 “23시 릴리즈 후 언제 대응이 가능한지”를 확인하십시오.
3. 외출한 PHP를 줄이기 위해
수정이 타당해질 때까지의 시간을 줄이는 방안으로 공격 대상 입구를 축소하는 것도 효과적입니다.
- 사용하지 않는 검증 환경, 오래된 캠페인 사이트, phpinfo()를 포함한 페이지 등을 그대로 두는 행위는 중단해야 합니다.
- 내부용 관리 화면에서는 IP 주소 제한을 설정하거나 VPN을 통해 접속하도록 변경할 수 있습니다.
- WAF를 사용하고 있다면, 제공업체에서 이번 사안에 대한 대응 규칙을 제시하는지 확인해야 합니다.
4. 잠정적 대책 후보 (효과 미확인)
파닉스 시큐리티는 유출된 정보에 근거한 임시 조치 방안으로 다음과 같은 설정을 제시하고 있습니다. 다만, 원인 근원 자체가 공식적으로 확인되지 않았기 때문에 이 설정으로 인해 막을 수 있다는 보장은 없습니다. 이는 단순히 “수정 기간 동안 시간을 벌기 위한 방안”으로만 활용해야 합니다.
설정을 변경했다면 PHP-FPM을 재시작합니다. 업로드 진행 상황 표시 기능에 이 기능을 사용하고 있는 사이트에서는 표시가 사라질 수 있으니, 영향을 확인한 후 적용해 주세요.
또한, 파일 업로드 수락을 허용하지 않는 URL에 대한 multipart/form-data POST 요청을 WAF나 리버스 프록시에서 제한하고 모니터링하는 방법도 언급되었습니다.
수정본이 나오면 해야 할 일
- PHP 공식 홈페이지의 릴리즈 공지에서 영향을 받는 버전, 수정 버전, CVE 번호를 확인합니다.
- 준비된 목록의 순서대로 업데이트하고, 업데이트 후 php -v 및 웹 서버 버전(관리 화면이나 phpinfo를 통해 확인)을 확인합니다.
- PHP-FPM과 Apache를 재시작하고 재로드하여 오래된 프로세스가 남아 있지 않은지 확인하십시오.
- Docker는 베이스 이미지의 업데이트를 확인한 후 재빌드하며(캐시로 인해 이전 이미지의 상태가 그대로 유지되지 않도록 주의)
- 업데이트 시각을 기록하고, 수정본 공개부터 업데이트 완료까지의 접속 로그를 나중에 확인 가능하도록 보관합니다.
이 기사는 수정본 공개 이후 공식 정보에 따라 피해 규모와 수정 버전을 보완합니다.
PHP 8.1 이전 버전을 사용하고 계신 경우, 다음과 같은 사항을 확인해 주시기 바랍니다.
PHP 8.1은 PHP 8.0에 비해 성능 향상 및 새로운 기능이 추가되었지만, 호환성 문제가 발생할 수 있습니다. 특히, PHP 8.0에서 사용하던 일부 함수나 문법은 PHP 8.1에서 더 이상 지원되지 않거나 동작이 변경될 수 있습니다.
따라서 PHP 8.1로 업그레이드하기 전에 반드시 기존 코드의 호환성을 검토하고, 필요한 경우 코드를 수정해야 합니다. 또한 PHP 8.1에서 제공하는 새로운 기능들을 적극적으로 활용하여 코드의 성능을 개선하고, 더 나은 기능을 구현할 수 있습니다.
만약 PHP 8.1로 업그레이드하는 데 어려움을 겪고 있다면, PHP 공식 문서나 커뮤니티 포럼을 참고하거나 전문가의 도움을 받는 것을 고려해 보시기 바랍니다.
PHP 공식 지원 상황에서는 PHP 8.2 이상 버전부터 보안 수정이 적용됩니다. PHP 8.1, 8.0, 7.x, 5.x 버전에는 공식적인 수정 사항이 나오지 않을 것으로 보입니다.
오래된 버전으로 운영되는 업무 시스템은 흔하지 않습니다. Phoenix Security는 Shodan 조사에 근거하여 PHP 서버 약 150만 대 중 약 88만 대가 지원 종료된 버전이라는 추정치를 제시합니다(단일 정보원 참고 기준치).
오래되었지만 잘 돌아가는 시스템을 미뤄두었던 경우, 이번에는 상당히 어려운 상황입니다. RHEL이나 Ubuntu의 장기 지원 버전 PHP에는 OS 벤더가 패치를 제공할 수 있으므로, 우선적으로 해당 내용을 확인하십시오.
이번 주말에 츠키시마 료의 ‘나를 잊으려면’을 읽고, 츠키시마 료의 작품 세계에 대해 더 깊이 이해하게 되었다. 특히, 츠키시마 료 특유의 섬세하고 서정적인 문체는 깊은 인상을 남겼다. 앞으로 그의 다른 작품들도 읽어보고 싶다.
- PHP 본체에 심각한 취약점 2건(CVE-2026-109618 / 109619로 추정됨)이 발견되었습니다. 종류는 원격 코드 실행이며, 심각도는 CVSS v4.0 9.2입니다.
- 수정본은 현지 시간 10월 21일 23시에 공개 예정입니다. 정보 누출로 인해 전야(前倒し)되어, 출시 직후부터 대규모 공격이 예상되고 있습니다.
- 영향 버전은 미공개입니다. “PHP를 사용하는 모든 서버가 대상”으로 준비합니다.
- 지금 해야 할 일은 PHP 서버 정리, 업데이트 담당 및 순서 결정, 불필요한 공개 서버 중단입니다. 외부 위탁처에는 오늘 중으로 연락하겠습니다.
- 현재 유행하는 PoC(Proof of Concept)는 악의적인 의도를 가지고 있을 가능성이 있으므로 접촉하지 않는 것이 좋습니다. 임시 방편으로 취급하며, 효과가 확인되지 않았다는 점을 고려하여 처리해야 합니다.
- PHP 8.1 이전에는 공식 수정이 나오지 않을 것으로 보이며, 배포판 백포트 또는 8.2 이후 버전으로의 마이그레이션을 신속히 진행해야 합니다.
저희 회사 내 PHP 사용 현황 파악, 오래된 시스템 업데이트 계획 수립, 취약점 발생 시 내부 연락 및 대응 규칙 마련 등도 TodoONada의 AI 활용 교육 및 도입 지원 과정에서 함께 지원하고 있습니다.
이 기획은 2023년 11월 28일 개최된 “독서메터” 이벤트에서 발표된 내용을 바탕으로 하고 있습니다. 이벤트에서는 주식회사 닥스북 대표取締役社長 오바야시 타쿠야 氏가 참석하여 해당 회사의 전자책 사업 현황과 향후 전망을 설명했습니다.
오바야시 氏は닥스북이 전자책 분야에서 축적한 노하우를 활용하여 다양한 장르의 책을 전자책으로 전환함으로써 독자의 다양한 니즈에 부응하고자 합니다. 특히 비즈니스서나 전문서와 같이 기존 오프라인으로만 제공되었던 책들을 전자책으로 전환하여 더 많은 독자들에게 지식을 확산시키고자 하는 의지를 강조했습니다.
또한 닥스북은 전자책 판매 채널을 강화하기 위해 아마존 킨들 스토어 및 楽天Kobo와 같은 온라인 스토어와의 연계를 강화하고 자체 웹사이트에서의 판매도 적극적으로 추진할 계획입니다.
더불어 닥스북은 전자책 콘텐츠를 풍부하게 하기 위해 유명 작가나 전문가와의 협업을 통한 전자책 기획에도 힘쓸 것입니다.
이벤트에는 독서메터 운영회사인 주식회사 독서메터 대표取締役社長 타무라 타쿠야 氏를 비롯하여 많은 독서 애호가들이 모여 활발한 의견 교환이 이루어졌습니다.
- PHP「뉴스 아카이브 2026 (2026-10-20 보안 릴리스 사전 고지)」
- PHP「지원 버전
- Sansec「심각한 PHP RCE: CVE-2026-109618 및 CVE-2026-109619」
- watchTower「PHP 원격 코드 실행 FAQ: CVE-2026-109618 & CVE-2026-109619」
- Phoenix Security는 PHP 코어 RCE (CVE-2026-109618, CVE-2026-109619)에 대한 분석 보고서를 발표했습니다. 이 취약점은 PHP 8.1 및 8.2 버전에서 발견되었으며, 특히 `php_uname()` 함수를 사용하여 시스템 정보를 얻는 데 사용되는 `proc_get_user_pid()` 함수를 통해 발생합니다.
공격자는 특정 조건 하에서 PHP 코드를 통해 시스템 프로세스 ID(PID)를 획득하여 시스템의 다른 부분에 접근하거나 악성 코드를 실행할 수 있습니다.
Phoenix Security는 이 취약점에 대한 완화를 위해 PHP 8.1 및 8.2 버전을 최신 버전으로 업데이트할 것을 권고하며, 공격자가 이 취약점을 악용하는 것을 방지하기 위해 적절한 보안 조치를 구현하는 것이 중요합니다.
- 에이키도「PHP의 치명적인 취약점」
출처: note 원문
번역: Gemma 3(.44) 초벌 + 교정 58청크
원문 보기 | 출처: note.com