PHP 보안 결함 점검·패치

로그인 없이 코드가 실행될 수 있는 PHP 결함입니다

2026년 10월 21일 PHP 프로젝트가 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 냈습니다. 두 건 모두 CVSS v4 9.2이며, 조건이 맞으면 로그인하지 않은 요청으로 서버에서 코드가 실행될 수 있습니다. 특정 게시판이나 플러그인 버그가 아니라 PHP 런타임 자체의 결함입니다.

CVE-2026-109618은 메모리 한도에 닿는 순간 정리 과정이 덜 만들어진 내부 데이터를 올바른 값으로 다루며 메모리가 깨지는 쪽입니다. CVE-2026-109619은 한 요청의 내부 상태가 메모리가 풀린 뒤에도 남아, 같은 워커가 받은 다음 요청이 그 상태를 쓰는 쪽입니다. PHP 팀은 Apache mod_php에서 위험이 가장 크다고 밝혔고, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed로 웹 요청을 받는 구성도 대상입니다.

올려야 하는 버전

기준은 2026년 10월 21일 PHP 재단 보안 릴리스 안내입니다. 이후 나온 더 높은 버전이 있으면 그 버전을 따릅니다.

견적에 포함되는 작업

당장 올리지 못할 때

PHP 보안 안내에는 업로드 진행 상태 기능을 끄는 임시 조치가 있습니다. PHP 8.5에서는 치명 오류 역추적 출력도 끄라는 안내가 있습니다. 이 설정은 일부 경로만 줄이고, 메모리를 제한하지 않는 쪽의 보호는 약해질 수 있습니다. 임시로 적용하더라도 지원 버전 패치가 본 조치입니다. 외부 접속을 잠시 끊는 선택도 있습니다.

리눅스 커널 보안 업데이트도 함께 지원합니다

PHP를 올려도 그 아래의 운영체제 커널은 그대로입니다. 2026년 10월에 공개된 CVE-2026-98432(CVSS 9.8)는 IPv4 TCP 연결 과정의 결함으로, 포트가 열려 있는 리눅스 서버가 대상이며 로그인 없이 네트워크로 공격할 수 있는 것으로 평가됩니다. PHP 점검을 할 때 커널 버전도 같이 확인합니다.

기준은 2026년 11월 초 확인한 배포판 공지입니다. 이후 나온 더 높은 버전이 있으면 그 버전을 따릅니다.

자주 묻는 질문

우리 서버도 이 PHP 보안 결함에 해당하나요?

웹 요청을 처리하는 PHP라면 해당될 수 있습니다. PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35보다 낮은 8.2~8.5와, 보안 지원이 끝난 8.1 이하가 대상입니다. 정확한 버전과 구동 방식은 서버에서 확인한 뒤 견적에 반영합니다.

패치만 하면 끝나나요?

올리기 전에 백업하고, 적용한 뒤 PHP 워커를 다시 띄워 버전이 패치본과 같은지 확인합니다. 패치 전에 인터넷에 열려 있었다면 침해 흔적도 함께 봅니다.

지금 바로 버전을 올릴 수 없으면요?

PHP 공식 권고의 임시 설정으로 일부 경로를 줄일 수 있습니다. 임시 조치는 일부만 막으므로, 지원되는 패치 버전으로 올리는 것이 본 조치입니다.

리눅스 커널 업데이트도 해 주나요?

네. 보안 결함이 공개된 커널은 수정 커널을 설치하고 재부팅해야 적용됩니다. 서버마다 재부팅 시각을 정해 한 대씩 진행하고, 새 커널로 뜨지 않으면 이전 커널로 돌아오도록 설정한 뒤 재부팅합니다. 재부팅하는 동안 서비스가 잠시, 대개 1~2분 멈추며, 재부팅 후에는 서비스와 사이트 응답을 확인합니다.

견적은 어떻게 받나요?

이름, 휴대폰, 사이트 주소와 PHP 버전을 남기면 확인 후 연락드립니다. 서버 대수와 PHP-FPM, Apache mod_php 같은 구동 방식을 적어 주시면 범위를 더 빨리 잡습니다.

서버 구축·이전 안내