PHP 치명적 취약점 2건 긴급 수정, 첫 공격 시도 확인

PHP 개발팀이 각각 10점 만점에 9.2점으로 평가된 치명적 취약점 두 건에 대한 긴급 패치를 배포했다. 이 결함을 이용하면 공격자가 인증 없이 원격으로 서버에서 임의의 코드를 실행할 수 있다. Cloudflare는 이미 최초의 악용 시도를 포착했다.

업데이트는 10월 21일에 공개되었으며, 대상 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12이다. 8.1 이하 버전은 프로젝트의 정기 지원을 받지 않지만, 7.4, 8.0, 8.1에 대해서는 소스 코드 수정본이 별도로 제공되었다. 일부 서버 소프트웨어 공급업체도 자체 보안 업데이트를 제공하고 있다.

첫 번째 취약점인 CVE-2026-109618은 메모리가 고갈된 상황에서 발생하는 메모리 손상 때문에 생긴다. 두 번째인 CVE-2026-109619는 이전 요청을 처리한 뒤 해제된 메모리 영역에 접근할 수 있게 한다. 두 오류 모두 PHP 프로세스의 권한으로 코드가 실행되고 서버에 저장된 데이터가 침해될 수 있다.

개발팀은 mod_php 모듈을 사용하는 Apache 서버가 가장 큰 위험에 놓여 있다고 밝혔다. 공격은 인증 없이 가능하며 요청 한 번이면 충분하고, 웹사이트 자체가 시작되기 전에 악성 코드가 실행될 수도 있다.

위협의 규모는 상당하다. W3Techs에 따르면 서버 측 언어를 확인할 수 있었던 웹사이트의 69.3%가 PHP를 사용한다. WordPress, Drupal, Joomla, Magento 등이 여기에 해당한다. 취약점이 PHP 자체에 있기 때문에 콘텐츠 관리 시스템을 업데이트하는 것만으로는 문제가 해결되지 않는다.

이 결함에 대한 정보는 예정된 공개일보다 먼저 외부에 알려졌다. Cloudflare는 추가 방어 규칙을 적용했지만, 이것이 PHP 패치 설치를 대신할 수는 없다고 강조했다.

관리자는 즉시 PHP를 업데이트할 것이 권고된다. 업데이트가 어려운 경우 CERT-EU는 취약한 애플리케이션을 일시적으로 인터넷에서 분리하라고 조언한다. 추가 보호 조치는 개별 공격의 위험을 낮출 수 있으나 서버의 안전을 보장하지는 않는다.