[긴급 보안공지] PHP 원격 코드 실행 취약점 - PHP 7·8 계열 보안 패치 확인 안내
안녕하세요. SIR입니다.
이 공지는 웹호스팅 이용자 대처를 포함하고 있습니다.
※ 2026년 10월 22일 확인한 PHP 공식 보안 공지 기준으로 작성되었습니다.
https://www.php.net/archive/2026.php#2026-10-21-5
※ 2026년 10월 23일 추가 확인 (공식 수정 버전 안내 업데이트)
PHP에서 인증 없이 원격 코드 실행으로 이어질 수 있는 중대한 취약점 2건이 공개됐습니다.
이번 문제는 PHP 자체의 취약점이며, 그누보드·영카트 소스 업데이트나 관리자 비밀번호 변경만으로 해결되지 않습니다.
PHP 기반 웹사이트를 운영하시는 곳에서는 실제 사용 중인 PHP에 보안 패치가 적용됐는지 신속히 확인해 주세요.
■취약점 안내
대상은 다음 두 취약점입니다.
■공식 수정 버전 안내 (업데이트:10월 23일)
백포트 컬럼은 2026년 10월 23일 확인한 Sury·Ondřej PHP PPA의 두 취약점 수정 반영 개정 버전입니다. 배포판별 접미사와 일부 패키지의 1: 접두사는 생략했습니다. 실제 적용 시에는 해당 환경에 제공되는 후속 보안 업데이트를 포함한 전체 패키지 버전을 확인해야 합니다. 다른 저장소·호스팅 업체에 동일한 번호를 적용할 수는 없습니다.
PHP 개발팀은 PHP 7.4·8.0·8.1에 제한적인 소스 백포트를 제공했습니다. 이는 정규 지원 재개를 의미하지 않으며, 표의 설치용 패키지는 외부 저장소에서 제공하는 것입니다.
백포트 패키지 제공 여부와 내 사이트의 적용 여부는 별개입니다. 호스팅 업체나 서버 관리자에게 두 CVE의 수정 및 실제 웹서비스 반영 여부를 확인해 주세요.
이용 중이신 계열에서 위 버전 또는 이후 보안 업데이트를 적용해야 합니다.
단, 기존 버전 번호를 유지하면서 보안 수정만 반영한 환경은 전체 패키지 버전과 수정 내역으로 적용 여부를 확인해야 합니다.
■PHP 7.4·8.0·8.1 등 구버전 안내
PHP 개발팀은 이번 취약점의 심각성을 고려해 PHP 7.4·8.0·8.1용 제한적인 소스 백포트도 제공했습니다. 백포트는 보안 수정 사항을 이전 버전에 적용하는 방식입니다.
이는 바로 설치할 수 있는 일반 배포 패키지의 제공이나 해당 계열의 정규 지원 재개를 의미하지 않습니다. 직접 빌드하거나 별도의 유지보수 환경을 사용하는 관리자가 검토할 수 있도록 제공된 소스 수정입니다.
구버전 이용자는 호스팅 업체나 서버 관리자에게 현재 환경의 수정 적용 여부를 확인해 주세요. 이번에 공식 소스 백포트가 안내되지 않은 더 오래된 계열도 안전하다고 판단해서는 안 됩니다.
■버전 숫자나 업데이트 성공 메시지만으로 판단 금지
일부 운영체제나 유지보수 환경은 기존 PHP 버전 번호를 유지하면서 보안 수정만 반영합니다. 따라서 화면에 표시되는 버전 숫자만으로 패치 여부를 구분하기 어려울 수 있습니다.
반대로 업데이트 명령이 성공했거나 최근 날짜에 빌드됐다는 표시가 있어도 이번 수정이 포함되지 않았을 수 있습니다.
다음 사항을 확인해 주세요.
확인용 phpinfo() 페이지는 서버 정보를 노출할 수 있으므로 외부에 공개해서는 안 됩니다.
■웹호스팅 이용자 대처 방법
호스팅 업체나 사이트 관리 담당자에게 다음 내용을 문의해 주세요.
■패치를 적용할 수 없는 구버전을 사용 중이라면
수정 적용 여부를 확인할 수 없다면 안전한 상태로 판단하지 말고, 호스팅 업체나 서버 관리자에게 우선 확인해 주세요. 현재 환경에 보안 패치를 제공받거나 적용할 수 없다면, 보안 수정이 제공되는 환경으로의 전환을 준비해야 합니다.
전환 시에는 그누보드·영카트뿐 아니라 개별 수정 코드, 테마·스킨·플러그인, 결제·본인인증 연동의 호환성을 함께 확인해 주세요. 사이트 파일·설정·DB 백업과 복구 수단도 준비해야 합니다.
다만 호환성 검토가 길어진다는 이유로 취약한 서비스를 보호 조치 없이 계속 공개해서는 안 됩니다.
■즉시 패치하거나 이전하기 어렵다면
즉시 패치하거나 이전하기 어렵다면, 서버 관리자와 협의해 PHP로 전달되는 외부 요청을 제한하거나 필요시 해당 웹서비스를 일시 중단하는 방안을 검토해 주세요.
점검 안내는 PHP를 실행하지 않는 정적 페이지로 제공하되, 다른 URL로 접근해도 PHP가 실행되지 않도록 요청 차단을 함께 적용해야 합니다.
애플리케이션 내부의 점검 모드나 WAF 사용만으로 충분한 보호가 이뤄졌다고 판단해서는 안 됩니다. PHP 공식 안내의 임시 완화 조치 역시 일부 공격 경로를 줄일 뿐 완전한 해결책은 아닙니다. 임시 조치를 취하면서 가능한 한 빨리 보안 패치를 적용해 주세요.
패치 적용 후에는 로그인·게시판·업로드·주문·결제 등 주요 기능을 확인해 주세요. 보안 패치가 기존 침해를 자동으로 복구하는 것은 아니므로, 의심스러운 파일이나 접속 기록이 발견됐다면 별도의 보안 점검도 필요합니다.
■회사 내부에 서버 담당자나 기술 담당자가 없으신 경우
SIR 문의게시판으로 문의주시면 대응 방법을 확인할 수 있도록 지원해 드리도록 하겠습니다.
문의하기 https://sir.kr/boards/co_qa
감사합니다.
이 공지는 웹호스팅 이용자 대처를 포함하고 있습니다.
※ 2026년 10월 22일 확인한 PHP 공식 보안 공지 기준으로 작성되었습니다.
https://www.php.net/archive/2026.php#2026-10-21-5
※ 2026년 10월 23일 추가 확인 (공식 수정 버전 안내 업데이트)
PHP에서 인증 없이 원격 코드 실행으로 이어질 수 있는 중대한 취약점 2건이 공개됐습니다.
이번 문제는 PHP 자체의 취약점이며, 그누보드·영카트 소스 업데이트나 관리자 비밀번호 변경만으로 해결되지 않습니다.
PHP 기반 웹사이트를 운영하시는 곳에서는 실제 사용 중인 PHP에 보안 패치가 적용됐는지 신속히 확인해 주세요.
■취약점 안내
대상은 다음 두 취약점입니다.
- CVE-2026-109618: 메모리 부족 처리 과정에서 발생하는 메모리 손상 문제
- CVE-2026-109619: 해제된 메모리와 관련된 내부 상태가 남아 발생하는 문제
■공식 수정 버전 안내 (업데이트:10월 23일)
| PHP 계열 | PHP 공식 배포 | Sury·Ondřej PPA 보안 백포트 |
|---|---|---|
| PHP 8.5 | 8.5.12 | - |
| PHP 8.4 | 8.4.27 | - |
| PHP 8.3 | 8.3.36 | - |
| PHP 8.2 | 8.2.35 | - |
| PHP 8.1 | - | 8.1.34-9 |
| PHP 8.0 | - | 8.0.30-25 |
| PHP 7.4 | - | 7.4.33-31 |
| PHP 7.3 | - | 7.3.33-35 |
| PHP 7.2 | - | 7.2.34-66 |
| PHP 7.1 | - | 7.1.33-80 |
| PHP 7.0 | - | 7.0.33-92 |
| PHP 5.6 | - | 5.6.40-104 |
PHP 개발팀은 PHP 7.4·8.0·8.1에 제한적인 소스 백포트를 제공했습니다. 이는 정규 지원 재개를 의미하지 않으며, 표의 설치용 패키지는 외부 저장소에서 제공하는 것입니다.
백포트 패키지 제공 여부와 내 사이트의 적용 여부는 별개입니다. 호스팅 업체나 서버 관리자에게 두 CVE의 수정 및 실제 웹서비스 반영 여부를 확인해 주세요.
이용 중이신 계열에서 위 버전 또는 이후 보안 업데이트를 적용해야 합니다.
단, 기존 버전 번호를 유지하면서 보안 수정만 반영한 환경은 전체 패키지 버전과 수정 내역으로 적용 여부를 확인해야 합니다.
■PHP 7.4·8.0·8.1 등 구버전 안내
PHP 개발팀은 이번 취약점의 심각성을 고려해 PHP 7.4·8.0·8.1용 제한적인 소스 백포트도 제공했습니다. 백포트는 보안 수정 사항을 이전 버전에 적용하는 방식입니다.
이는 바로 설치할 수 있는 일반 배포 패키지의 제공이나 해당 계열의 정규 지원 재개를 의미하지 않습니다. 직접 빌드하거나 별도의 유지보수 환경을 사용하는 관리자가 검토할 수 있도록 제공된 소스 수정입니다.
구버전 이용자는 호스팅 업체나 서버 관리자에게 현재 환경의 수정 적용 여부를 확인해 주세요. 이번에 공식 소스 백포트가 안내되지 않은 더 오래된 계열도 안전하다고 판단해서는 안 됩니다.
■버전 숫자나 업데이트 성공 메시지만으로 판단 금지
일부 운영체제나 유지보수 환경은 기존 PHP 버전 번호를 유지하면서 보안 수정만 반영합니다. 따라서 화면에 표시되는 버전 숫자만으로 패치 여부를 구분하기 어려울 수 있습니다.
반대로 업데이트 명령이 성공했거나 최근 날짜에 빌드됐다는 표시가 있어도 이번 수정이 포함되지 않았을 수 있습니다.
다음 사항을 확인해 주세요.
- 수정 내역: 두 CVE의 수정이 모두 포함됐는지
- 실제 웹 실행 환경: 터미널의 PHP가 아닌, 해당 사이트가 사용하는 PHP에 적용됐는지
- 서비스 반영: 설치 후 실행 중인 PHP 프로세스에도 새 코드가 반영됐는지
확인용 phpinfo() 페이지는 서버 정보를 노출할 수 있으므로 외부에 공개해서는 안 됩니다.
■웹호스팅 이용자 대처 방법
호스팅 업체나 사이트 관리 담당자에게 다음 내용을 문의해 주세요.
제 사이트에서 실제 사용하는 PHP에 CVE-2026-109618과 CVE-2026-109619의 수정이 모두 적용됐는지 확인 부탁드립니다.
- 보안 수정 적용 여부와 확인 근거
- 실행 중인 웹서비스까지 반영됐는지 여부
- 미적용 상태라면 적용 예정 시간과 임시 보호 조치
- 현재 환경에 수정 적용이 어렵다면 이전 가능한 환경과 지원 방법
■패치를 적용할 수 없는 구버전을 사용 중이라면
수정 적용 여부를 확인할 수 없다면 안전한 상태로 판단하지 말고, 호스팅 업체나 서버 관리자에게 우선 확인해 주세요. 현재 환경에 보안 패치를 제공받거나 적용할 수 없다면, 보안 수정이 제공되는 환경으로의 전환을 준비해야 합니다.
전환 시에는 그누보드·영카트뿐 아니라 개별 수정 코드, 테마·스킨·플러그인, 결제·본인인증 연동의 호환성을 함께 확인해 주세요. 사이트 파일·설정·DB 백업과 복구 수단도 준비해야 합니다.
다만 호환성 검토가 길어진다는 이유로 취약한 서비스를 보호 조치 없이 계속 공개해서는 안 됩니다.
■즉시 패치하거나 이전하기 어렵다면
즉시 패치하거나 이전하기 어렵다면, 서버 관리자와 협의해 PHP로 전달되는 외부 요청을 제한하거나 필요시 해당 웹서비스를 일시 중단하는 방안을 검토해 주세요.
점검 안내는 PHP를 실행하지 않는 정적 페이지로 제공하되, 다른 URL로 접근해도 PHP가 실행되지 않도록 요청 차단을 함께 적용해야 합니다.
애플리케이션 내부의 점검 모드나 WAF 사용만으로 충분한 보호가 이뤄졌다고 판단해서는 안 됩니다. PHP 공식 안내의 임시 완화 조치 역시 일부 공격 경로를 줄일 뿐 완전한 해결책은 아닙니다. 임시 조치를 취하면서 가능한 한 빨리 보안 패치를 적용해 주세요.
패치 적용 후에는 로그인·게시판·업로드·주문·결제 등 주요 기능을 확인해 주세요. 보안 패치가 기존 침해를 자동으로 복구하는 것은 아니므로, 의심스러운 파일이나 접속 기록이 발견됐다면 별도의 보안 점검도 필요합니다.
■회사 내부에 서버 담당자나 기술 담당자가 없으신 경우
SIR 문의게시판으로 문의주시면 대응 방법을 확인할 수 있도록 지원해 드리도록 하겠습니다.
문의하기 https://sir.kr/boards/co_qa
감사합니다.
|