2026년 10월 21일, 수정본 공개 전 정보를 바탕으로 합니다. 대상 버전이나 수정본은 공개 후 공식 정보를 확인해 주십시오. PHP에는 심각도 “Critical”의 취약점이 2건 있습니다. PHP 보안팀은 일본 시간 10월 21일 23시에 보안 릴리즈를 공개할 예정임을 예고했습니다. CVSS v4.0 점수는 모두 9.2입니다. 공개 즉시 업데이트될 수 있도록 준비를 촉구하고 있습니다. 현장에서 운영을 담당하는 입장에서 저는 이 뉴스를 “또 취약성이야?”라는 식으로 흘려보낼 수 없습니다. 다만, 걱정되는 것은 취약성의 심각성만이 아니기 때문입니다. “저희, PHP를 사용했었습니까?”라는 질문에 아무도 즉시 대답할 수 없는 상황입니다. 자회사 웹사이트는 제작 회사, 업무 시스템은 개발 벤더, 서버는 별도의 유지보수 회사에서 담당합니다. 담당을 분담한 결과, 긴급 상황 발생 시 전체를 설명할 수 있는 사람이 없어집니다. 위탁 업체의 수만큼 안심이 늘어나는 것은 아닙니다. 책임의 간극이 커지고 있는 것은 아닌지, 오늘 밤 확인해야 합니다. 우선, 알고 있는 것을 정리하고 싶습니다. PHP 공식이 예고하는 것은 2건의 Critical 취약성 대응과 23시 공개 예정이라는 것입니다. 대상 버전, 수정본 번호, 기술적인 자세한 내용은 릴리즈 시 공표될 것입니다. 정보 공개나 실제 악용의 증거가 확인되면 공개를 앞당길 수도 있습니다. CERT-EU는 “CVE-2026-109618”, “CVE-2026-109619”를 언급하며 외부에서 임의의 코드를 실행될 가능성을 언급하고 있습니다. 다만, 기술 정보가 미공개임을 명시하고 있습니다. 따라서 현재 단계에서 “모든 PHP 사이트가 동일한 조건으로 침투될 것”이라고 단정하는 것은 이르며, 한편으로는 상세 정보가 나오기 전까지 아무런 준비를 하지 않는 것은 옳지 않습니다.
또한, 운영 방식으로는 취약한 부분이 있습니다. IPA 또한 사전 준비를 촉구하고 있지만, 이번 2건을 악용했다는 공격을 현재로서는 확인하고 있지 않다고 설명합니다. “중대한 취약성이 존재한다”와 “이미 자사 시스템이 침해되었다”는 것은 각각 확인이 필요합니다. 이 부분을 혼동하면 판단과 설명 모두 엉망이 될 것입니다. 제가 말씀드리고 싶은 것은, 23시 이후부터 담당자를 찾아 헤매지 말아야 한다는 것입니다. 공개 전에 최소한 다음 5가지 사항을 준비해야 합니다. ① PHP를 어디에서 사용하고 있는지 공개 사이트, 관리 화면, 위탁처 환경, 컨테이너 등 사용 장소와 관리자를 정리합니다. 대상이 불명확한 항목에도 확인 담당자와 기한을 설정합니다. “불명확”은 “대상 외”가 아닙니다. ② 수정 버전이 어디에서 오는지 PHP 공식 배포물인지, OS 패키지인지, 호스팅 업체가 관리하는 것인지 확인합니다. 누가 수정 버전을 제공하고 누가 적용하는지 확인합니다. 공식 공개와 자사 환경에 대한 제공 및 적용은 동일한 시각을 의미하지 않을 수 있습니다. ③ 업데이트 후 무엇을 확인해야 하는지 백업, 적용, 필요한 재시작, 로그인, 주요 업무의 작동 확인까지 준비합니다. “홈페이지가 표시되었다면 정상입니다” 그것뿐으로는 업무가 정상적으로 작동하는지 알 수 없습니다. 등록, 검색, 결제 등 해당 서비스에서 중요한 처리를 확인해야 합니다. ④ 야간에 누가 판단하는지 긴급 변경을 누가 승인하는지. 서비스 제한을 누가 결정하는지. 고객에게 설명하는 것을 누가 담당하는지 확인해야 합니다. 이 부분이 모호한 채로 “신속하게 대응해 주세요”라고 말해줘도 현장에서는 어려움을 느낄 것입니다. 신속하게 움직일 수 있는 권한과 절차를 준비하는 것까지가 관리자 측의 일입니다. ⑤ 업데이트가 불가능한 경우 어떻게 해야 하는지 공개 제한, 일시 중지, 네트워크에서 분리 등 업무 백업에 대해 고려해야 합니다.
響과 판단 기한을 정리한다. CERT-EU도, 즉시 수정할 수 없는 경우에는 인터넷에 공개된 애플리케이션의 격리를 검토하도록 권고하고 있다. 여기서부터는 제 의견이지만, 긴급 상황에서 “멈추지 마라”라고 말하는 사람이 있는 데에도, 위험한 상태로 계속 움직이도록 판단을 받아들이는 조직이 없는 것이다. 멈추면 업무에 영향이 있다. 계속 움직여도 위험이 있다. 이러한 비교를, 야간 근무 담당자 한 명에게 짊어지지 않아야 한다. 그리고 “벤더에 확인 중”은 대응 완료가 아니다. 위탁사에 묻는다면 “괜찮으신가요”로 끝나지 않아야 한다. PHP의 이용 여부, 대상 환경, 수정 버전의 제공 예정, 적용 예정, 업데이트 후 확인 방법, 적용까지의 임시 대응. 이 답변을, 시간과 함께 관리해야 한다. “처리 완료”라는 답변에도, 내용이 필요하다. 무엇을 업데이트했나. 전체에 적용했나. 오래된 프로세스가 남아 있지 않은가. 대기 시스템에도 반영되었나. 다음 재시작하는 이미지는 업데이트되었나. 업데이트했다고 해도, 이후 일정한 이미지에서 재구성하면 수정 전에 돌아갈 수 있다. 그 자리에 하는 작업과 구성 관리를 연결하는 지점에서 확인하고 싶다. 또한, 업데이트의 성공과 과거에 침해되지 않았다는 것은 또 다른 확인이다. 의심스러운 파일, 프로세스, 통신 등이 발견되면 증거를 보존하고, 일반적인 업데이트 작업에서 인시던트 대응으로 전환해야 한다. 이번 뉴스만으로 특정 기업의 대응을 평가할 수는 없다. 아직 수정 버전 공개 전이며, 각사의 상황도 알 수 없다. 다만, 매번こうした 알림이 있을 때마다 담당자가 호출되어 절차를 찾고 승인자를 쫓아다니는 것은, 그 노력을 다음 운영 개선에 연결해야 한다. “이번에도 어떻게든 위기를 넘겼다”는 말
잎으로 끝나면, 다음에도 같은 사람이 고생한다. 자산 관리, 긴급 변경, 야간 연락, 정지 판단, 복구 확인. 평소에는 눈에 띄지 않는 운영 설계가, 이런 밤에 큰 영향을 미친다. 오늘 밤 23시에 공개 예정인 것은 PHP의 수정판이다. 그 시점에 기업이 즉시 대처할 수 있을지는 공개 전 준비에 달려 있다. 참고 자료: PHP 공식 “Upcoming Critical PHP Security Release” https://www.php.net/archive/2026.php#2026-10-20-1CERT-EU “Critical Vulnerabilities in PHP” https://cert.europa.eu/publications/security-advisories/2026-018IPA “【사전 준비 요청】PHP 보안 릴리스 공개 예정에 대한” https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
출처: note 원문
번역: Gemma 3(.44) 초벌 + 교정 검수
원문 보기 | 출처: note.com