PHP, 치명적 취약점 2건 긴급 보안 패치 예고

‘오늘의 운세’ 글을 읽으려고 주소를 열었다고 생각해 보세요. 아무것도 입력하지 않아도 브라우저는 서버에 “이 페이지를 보여 줘”라는 요청을 보내고, 서버는 그 요청에 맞는 내용을 돌려줍니다. 글쓰기·업로드 폼은 요청을 보내는 여러 방법 가운데 하나입니다. 브라우저와 서버의 요청·응답 설명

이때 뒤에서 요청을 처리하는 컴퓨터를 서버라고 부릅니다. PHP를 쓰는 사이트에서는 서버가 PHP로 작성된 프로그램을 실행해 페이지를 만들 수 있습니다. 브라우저가 받는 것은 대개 HTML, 즉 글과 화면 구성을 담은 문서입니다. PHP는 서버에서 일하고, 브라우저는 그 결과를 보여 줍니다. PHP 공식 입문 설명

평소에도 서버는 이용자의 요청을 받습니다. 다만 ‘이 글을 보여 줘’처럼 개발자가 미리 허용한 기능 안에서 처리합니다.

원격 코드 실행은 공격자가 다른 컴퓨터에서 보낸 코드, 즉 프로그램의 명령을 서버에서 실행하게 만드는 문제입니다. 손님이 준비된 메뉴에서 음식을 고르는 것과, 손님이 주방의 작업 지시까지 고쳐 쓰는 것을 떠올려 보세요.

RCE의 피해는 그 명령을 실행하는 계정이 무엇을 읽고, 바꾸고, 어디에 연결할 수 있느냐에 따라 달라집니다. 관리자 계정처럼 서버 전체를 다룰 권한이 자동으로 따라오지는 않습니다. 보안 취약점 분류 기관 MITRE의 코드 실행 영향 설명

아래 표는 가상의 문의 사이트로 그려 본 일반적인 피해 예시입니다. 이번 PHP 결함에서 실제로 일어난 사례도, 제 사이트에 저장된 정보나 제 사이트에서 생긴 일도 아닙니다.

MITRE의 공격 유형 설명도 서버의 파일·데이터베이스에서 정보를 모으는 행위와 외부 사이트의 내용을 바꾸는 행위를 나눠 다룹니다. 앞의 것은 홈페이지가 멀쩡해 보여도 일어날 수 있고, 뒤의 것은 방문자의 눈에 바로 보입니다. 자료 수집 설명 · 외부 사이트 변조 설명

‘우리 서버도 PHP를 쓰는데, 해당할까?’ 취재 시점의 PHP 공식 공지에는 영향 버전과 수정 버전이 아직 없었습니다. PHP를 쓴다는 사실만으로는 내 설치가 영향을 받는지 정할 수 없습니다.

지금 알아 둘 것은 내 서비스가 PHP를 쓰는지, 쓴다면 어떤 버전인지입니다. 그래야 상세 발표가 나왔을 때 대상 목록과 비교할 수 있습니다. 9.2는 심각도 점수이고, 내 서버가 공격받을 확률을 뜻하지는 않습니다. CVSS 공식 설명

일본에서 정보보안 대응을 안내하는 공공기관 IPA(정보처리추진기구)는 유럽연합 기관의 사이버보안 대응을 맡는 CERT-EU의 경고도 소개합니다. CERT-EU는 다른 정보원을 근거로 CVE-2026-109618·CVE-2026-109619라는 식별번호와 PHP 5 이후 버전에 영향을 줄 수 있다는 내용을 전합니다. IPA도 세부 영향 버전과 수정 버전은 아직 확인하지 못했다고 밝힙니다. 영향 가능성이 넓다는 경고이고, 내 서버의 영향 조건은 공식 상세가 나와야 정해집니다. IPA 안내 · CERT-EU 경고

운영자가 코드를 몰라도 미리 정리해 둘 수 있는 것은 세 가지입니다. 서비스 이름, PHP 사용 여부와 버전, 업데이트 담당자입니다. 호스팅 업체에 맡긴 사이트라면 직접 코드를 고칠 일 없이 담당 업체에 이 세 가지를 물으면 됩니다. 편집부가 정리한 질문은 이렇습니다.

우리 서비스가 PHP를 사용하나요? 현재 버전은 무엇이며, 이번 보안 업데이트는 누가 확인하고 적용하나요?

공개 예정 시각은 10월 21일 23:00 KST/JST입니다. PHP 팀은 상세 정보가 먼저 공개되거나 악용 증거가 나타나면 일정을 앞당길 수 있다고도 했습니다. 실제 공개 여부와 내 버전의 수정 안내를 본 뒤에 적용하고 점검하는 순서입니다.

PHP의 소스코드, 즉 PHP 자체가 어떻게 동작하는지 적어 놓은 프로그램은 공식 GitHub 저장소 php/php-src에 공개돼 있습니다. 개발자는 코드와 변경 이력을 읽을 수 있고, 공격자도 공개된 내용을 읽을 수 있습니다. 다만 PHP의 보안 제보 정책은 취약점 제보를 공개 전까지 비공개로 유지한다고 안내합니다. 저장소가 공개돼 있어도 이번 보안 수정은 공개 시점까지 비공개로 다뤄진다는 뜻입니다. PHP 공식 코드 · 보안 제보 정책

Microsoft의 브라우저 보안 연구팀은 공개된 수정 코드를 분석해, 아직 수정이 닿지 않은 환경을 공격하는 사례를 설명합니다. PHP와는 별개의 사례로, 수정 공개와 실제 적용 사이의 틈이 왜 위험한지 보여 줍니다. 수정 공개와 적용 사이의 위험 설명

일반적인 위험의 흐름: 수정 내용 공개 → 취약한 처리의 단서 분석 → 조건이 맞는 미적용 환경에 공격을 시도할 가능성

IPA도 10월 21일 사전 준비를 요청했습니다. 가능한 범위에서 PHP 사용 현황을 파악하고, 수정이 공개되면 바로 적용할 수 있게 준비하라는 내용입니다. 같은 안내에서 IPA는 이 두 취약점을 악용한 공격을 현재 확인하지 않았다고 밝힙니다. IPA 사전 준비 안내

블로그나 쇼핑몰에 쓰는 WordPress도 PHP로 동작합니다. PHP는 호스팅 서버에서 관리하므로, WordPress 본체나 플러그인을 업데이트한 것만으로 PHP 수정까지 들어갔다고 볼 수는 없습니다. WordPress 공식 안내

관리자 화면의 도구 → 사이트 건강 → 정보 → 서버 → PHP 버전에서 사용 중인 버전을 볼 수 있습니다. 조회만 하는 화면이라 설정은 바뀌지 않습니다. 메뉴가 보이지 않으면 사이트 관리자나 호스팅 업체에 물으면 됩니다. 사이트 건강 안내 · PHP 버전 항목을 만드는 WordPress 코드

아래는 운영자가 기사 사용을 허락한 실제 WordPress 관리 화면입니다. 일본어 경고의 제목은 ‘PHP 업데이트가 필요합니다’이고, PHP 7.4.33을 실행 중이라고 표시합니다. 브라우저 탭이나 WordPress 본체의 버전 대신, 경고 안의 PHP (7.4.33)을 읽으면 됩니다.

PHP 프로젝트의 PHP 7.4 공식 지원은 2022년 11월 28일에 끝났습니다. 지원 중인 버전으로 옮길 준비가 필요한 사례입니다. 다만 호스팅 업체가 별도의 연장 보안 지원으로 수정을 제공할 수도 있어서, 화면의 버전 숫자만 보고 업체의 수정 적용 여부까지 판단할 수는 없습니다. PHP 공식 지원 종료 목록

Cloudways도 10월 21일 18:16 JST에 이번 건의 임시 완화 조치를 진행 중이며, 구버전은 연장 지원(ELTS) 파트너와 대응한다고 공지했습니다. 개별 서버에 최종 패치가 끝났다는 공지는 아닙니다. Cloudways 대응 공지

WordPress.com은 필요한 PHP 업데이트를 대신 진행한다고 안내합니다. 이번 보안 패치가 적용됐는지는 이 일반 정책보다 이번 공지에 대한 제공사의 안내나 지원팀 답변에서 알 수 있습니다. WordPress.com 서버 설정 안내

업체에 보낼 질문은 이렇게 정리할 수 있습니다.

제 사이트의 현재 PHP 버전과 이번 공지의 영향 여부를 확인해 주세요. 수정판이 제공되면 누가 언제 적용하나요? 적용 후 버전과 정상 작동 여부도 알려 주세요.

적용 전에는 사이트 파일·데이터베이스 백업과 복구 방법을 마련하고, WordPress·테마·플러그인의 업데이트 상태와 PHP 호환성을 점검합니다. 오래된 구성 요소는 새 PHP에서 문제가 생길 수 있습니다. 사이트 백업을 되돌려도 서버의 PHP까지 돌아가지는 않으므로, 문제가 생겼을 때의 대응도 업체와 정해 둡니다. WordPress 업데이트 안내