[다이어리포인트=엄주용 기자] PHP에서 인증되지 않은 공격자가 원격으로 코드를 실행할 수 있는 치명적 취약점 2건이 확인돼 보안 업데이트가 공개됐다. PHP 개발팀은 웹 요청을 처리하는 모든 PHP 설치 환경에 즉시 업데이트를 권고했다.
PHP 개발팀은 21일 보안 권고를 통해 CVE-2026-109618과 CVE-2026-109619를 수정한 버전으로 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 제시했다. 두 취약점은 모두 CVSS 4.0 기준 9.2점으로 평가됐으며, 인증 절차 없이 원격 코드 실행으로 이어질 수 있다.
첫 번째 취약점은 메모리 부족 상황을 처리하는 과정에서 초기화가 끝나지 않은 내부 요청 데이터가 잘못 처리될 수 있는 문제다. 두 번째는 요청에 속한 내부 상태가 메모리 해제 뒤에도 남아 다음 요청에서 사용될 수 있는 문제로 설명됐다.
영향 가능성이 있는 환경은 PHP-FPM, 아파치의 mod_php, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 처리하는 PHP 설치 전반이다. PHP 개발팀은 특히 mod_php 환경에서 애플리케이션 코드가 실행되기 전에 인증되지 않은 요청으로 공격이 촉발될 수 있어 위험이 높다고 밝혔다.
운영자는 사용 중인 PHP 계열에 맞춰 해당 수정 버전 이상으로 업데이트해야 한다. 리눅스 배포판이나 장기지원 운영체제 공급업체의 패키지를 이용하는 경우에는 각 업체가 제공하는 보안 패치 적용 여부도 확인해야 한다.
PHP 8.1 이하 버전은 PHP 프로젝트에서 더 이상 업데이트를 제공하지 않는다. 일부 배포판과 장기지원 공급업체가 수정 사항을 별도로 제공할 수 있지만, PHP 개발팀은 공급업체에 확인하거나 지원되는 버전으로 업그레이드하라고 안내했다. PHP 8.2는 2026년 12월 31일 보안 지원이 종료될 예정이다.
즉시 업데이트할 수 없는 경우를 위한 일부 설정 조정 방안도 공개됐지만, PHP 개발팀은 이를 완전한 해결책으로 보지 않았다. 보안 권고의 핵심 대응은 수정 버전으로 업데이트하는 것이며, 업데이트 전까지의 임시 조치는 특정 공격 경로의 노출을 줄일 뿐 설치 환경을 안전하게 만들지는 못한다.
0개의 댓글
최신순