Michael Johnson2026년 10월 21일, PHP는 인증 없이 원격 코드 실행을 허용할 수 있는 두 가지 치명적인 취약점을 공개했습니다. 같은 날 프로젝트는 8.5, 8.4, 8.3, 8.2 브랜치의 수정 사항을 배포하고 사용자에게 지체 없이 업데이트할 것을 권고했습니다. PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed를 포함해 웹 요청을 처리하는 설치 환경이 취약할 수 있다고 PHP는 밝혔습니다.
수정된 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다. 이번 릴리스는 메모리 부족 시 상태 손상과 관련된 CVE-2026-109618, 그리고 한 요청의 상태가 워커 프로세스에 남아 다음 요청을 처리할 때 사용될 수 있는 오류인 CVE-2026-109619를 해결합니다. 나열된 버전보다 이전 버전은 영향을 받습니다. PHP 8.1 및 그 이전 브랜치에 대해서는 프로젝트가 자체 업데이트를 더 이상 제공하지 않으므로, 관리자는 배포판 공급자나 LTS 지원 업체가 수정 사항을 제공하는지 확인해야 합니다.
웹 요청 수명 주기의 두 가지 오류
CVE-2026-109618의 경우, 내부 데이터가 완전히 초기화되기 전에 메모리 부족으로 요청 처리가 중단될 수 있습니다. 이후 종료 과정에서 PHP가 잘못된 상태에 접근할 수 있습니다. 개발자들은 advisory에서 멀티파트 요청과 메모리 한도 소진 등이 관련된 시나리오를 설명합니다. Apache mod_php에서는 애플리케이션 코드가 실행되기 전에 문제가 발생하는 시나리오가 확인되었으며, PHP는 이 구성의 위험이 더 크다고 덧붙였습니다.
CVE-2026-109619는 요청 사이에 워커 프로세스가 보존하는 상태에 영향을 줍니다. 데이터가 정리되기 전에 작업이 오류로 끝나면 이전 요청의 메모리는 해제되지만 이를 가리키는 참조는 남을 수 있습니다. 같은 프로세스에 배정된 다음 요청은 일반적인 초기화가 이뤄지기 전에 오래된 상태에 접근할 수 있습니다. 프로젝트 advisory에서 PHP는 초기 진단 작업과 파일 업로드 진행 상황 처리 과정에서 확인된 경로를 설명합니다. 특정 경로의 적용 여부는 구성, 애플리케이션, 사용 중인 확장 기능에 따라 다릅니다.
두 취약점은 CVSS 4.0 기준 9.2점을 받았습니다. PHP에 따르면 확인된 영향에는 웹 워커 권한으로 코드가 실행되는 경우가 포함됩니다. 메모리 부족 오류의 경우 advisory에서 mod_php를 대상으로 한 완전한 HTTP 공격 시나리오가 확인되었습니다. PHP-FPM에 대해서는 코드 분석과 취약 조건이 설명되어 있으므로, 특정 배포 환경을 평가할 때 두 정보를 구분하는 것이 중요합니다.
관리자가 확인할 사항
먼저 실제로 웹 트래픽을 처리하는 PHP 버전을 확인하세요. 한 서버에서 CLI, FPM, Apache용 빌드가 각각 실행될 수 있고, 컨테이너와 클러스터 노드는 별도로 업데이트해야 할 수 있습니다. 지원되는 각 브랜치에 해당하는 수정 버전이나 패치가 포함된 것으로 확인된 공급자 패키지를 설치하세요. 그런 다음 모든 PHP 워커를 재시작하고 재시작 후 버전을 확인하세요. 파일만 교체하고 재시작하지 않으면 기존 프로세스가 계속 실행됩니다.
PHP 8.1 및 그 이전 버전은 지원 상태와 배포판 또는 LTS 제공 업체가 백포트 수정 사항을 제공하는지 확인하세요. 해당 패키지가 없다면 지원되는 브랜치로의 전환을 계획하세요. PHP는 Linux 배포판 공급자들이 패치를 미리 받았다고 밝혔습니다. 이들 공급자의 패키지 버전 번호는 공식 PHP 릴리스와 다를 수 있으므로, 실제 수정 사항이 포함되었는지 확인하세요.
임시 설정이나 요청 필터링으로 일부 공격 경로를 줄일 수는 있지만, 프로젝트는 두 문제를 완전히 해결하는 방법은 업데이트뿐이라고 설명합니다. 팀은 모든 웹 워커를 파악하고, 수정된 패키지를 설치하고, 프로세스를 재시작한 뒤 각 노드에서 결과를 확인해야 합니다. 웹 서버 설정에만 의존하지 않고 확인된 취약점을 해결하려면 이 절차가 필요합니다.