웹사이트 및 웹 애플리케이션 개발에 널리 사용되는 프로그래밍 언어인 PHP 에 심각한 취약점이 2 건 발견되었으며, 개발 팀이 2026 년 10 월 21 일에 긴급 보안 업데이트를 공개한다고 발표했습니다. PHP: News Archive - 2026https://www.php.net/archive/2026.php#2026-10-20-1
php.announce: [ANNOUNCE] 다가오는 중요한 PHP 보안 릴리스https://news-web.php.net/php.announce/509CERT-EU - PHP 의 중요한 취약점https://cert.europa.eu/publications/security-advisories/2026-018/PHP 원격 코드 실행 FAQ: CVE-2026-109618 및 CVE-2026-109619https://watchtowr.com/intelligence/php-cve-2026-109618-faq/PHP 는 WordPress 와 같은 콘텐츠 관리 시스템을 비롯해 온라인 쇼핑몰 및 기업의 웹 서비스 등에서 널리 사용되는 프로그래밍 언어입니다. 웹 페이지 표시 및 데이터베이스와의 통신을 서버 측에서 처리하는 역할을 수행하며, PHP 자체에 중대한 결함이 발견되면 많은 웹사이트에 영향을 미칠 수 있습니다. 이번에는 "CVE-2026-109618" 및 "CVE-2026-109619"라는 두 가지 취약점이 문제입니다. 보안 기업 watchTowr 에 따르면, 두 취약점은 공격자가 원격으로 서버에서 임의의 코드를 실행할 수 있는 "원격 코드 실행"으로 이어질 수 있다는 점입니다. 공격이 성공하면 서버상의 정보가 읽히거나 파일이 변조될 위험이 있습니다. 취약점의 심각도는 공통 취약점 평가 시스템 "CVSS 4.0"에 따라 모두 9.2로 평가되어 가장 심각한 "긴급"으로 분류됩니다.
PHP 개발 팀은 2026 년 10 월 20 일 공식 웹사이트와 메일링 리스트를 통해 주의보를 발령하고, 수정 프로그램을 일본 시간 10 월 21 일 (수) 23 시에 배포한다고 발표했습니다. 또한 취약점의 세부 사항이 공개되거나 실제 공격이 확인되는 경우 배포 시점을 더욱 앞당길 수 있다는 점을 언급했습니다. PHP 개발 팀은 대상 버전이나 기술적 원인을 공식적으로 발표하지 않았으며, 수정 프로그램의 공개와 동시에 세부 사항을 공개할 계획이라고 밝혔습니다. 유럽 연합의 기관과 조직을 대상으로 사이버 보안 정보를 제공하는 CERT-EU 또한 긴급 주의보를 발령했습니다. CERT-EU 는 PHP 5 이후의 모든 버전이 영향을 받을 수 있다고 언급하며, PHP 를 사용하는 서버와 애플리케이션을 식별하고 수정 프로그램이 공개되자마자 즉시 업데이트할 수 있도록 준비할 것을 권장했습니다. 빠른 업데이트가 어려운 경우, 인터넷에 공개된 애플리케이션을 일시적으로 외부 네트워크에서 격리하는 방안도 제시했습니다. 반면, 보안 연구자 키릴 필소프 (Kirill Filsov) 는"php2shell"라는 이름과 함께 실제 공격 행위를 기록한 영상을 X 에 게시했습니다. 영상에는 WordPress 나 Drupal, Magento 등을 사용한 테스트 환경에 대한 공격이 수행되고, 서버에서 명령어를 실행하는 모습이 담겨 있습니다. PHP 실행 방식이 다른 여러 환경에서 공격을 재현하여 광범위한 웹 애플리케이션에 영향을 줄 수 있음을 시사하고 있습니다.
php2shellTomorrow 은 끔찍한 하루입니다. pic.twitter.com/M8ybQcrnlu
보안 기업 watchTowr 는 2 건의 취약점 중 CVE-2026-109618 에 대해 공격 재현에 성공했다고 밝혔습니다. 그러나 수정 프로그램 공개 전 악용 방법이 확산되는 것을 막기 위해 기술적 세부사항은 숨기고 있습니다. 또한 실제 사이버 공격에 악용된 사례는 확인되지 않았다고 설명했습니다. PHP 개발 팀은 PHP 를 사용하는 웹사이트 관리자에게 수정 프로그램이 이용 가능해지면 즉시 업데이트하라고 요청하고 있습니다. - 니코니코나 pixiv 등 다양한 웹사이트 및 앱이 PHP 긴급 패치에 대응하기 위해 유지보수 중 - GIGAZINE
원문 보기 | 출처: Gigazine