홈
콘텐츠 센터
콘텐츠 센터
웹콘텐츠
위협 소식 ◦ 위협 분석 ◦ 보안 인사이트

PHP 중대 취약점 2건 발견…웹 서버 공격 위험에 긴급 업데이트 필요

웹사이트와 웹 애플리케이션 개발에 널리 사용되는 PHP에서 웹 서버 공격으로 이어질 수 있는 중대 취약점 2건이 확인됐다. 두 취약점 모두 인증 없이 원격 코드 실행(RCE)이 가능하며, CVSS v4.0 기준 9.2점으로 평가됐다. PHP 보안팀은 2026년 10월 21일 보안 업데이트를 배포하고 즉각적인 적용을 권고했다.

이번 취약점은 다양한 PHP 기반 웹 서버 환경에 영향을 줄 수 있어 주의가 필요하다. 국내에서도 취약한 PHP 버전을 사용하는 것으로 추정되는 호스트가 약 11만 개 관측된 만큼, 기업은 운영 중인 PHP 환경을 점검하고 신속하게 보안 업데이트를 적용해야 한다.

PHP란 무엇인가?

PHP(PHP: Hypertext Preprocessor)는 웹사이트와 웹 애플리케이션 개발에 널리 사용되는 서버 측 스크립트 언어다.

사용자가 웹사이트에 접속하면 서버에서 PHP 코드가 실행되고, 그 결과가 웹페이지 형태로 사용자에게 전달된다. 이를 통해 로그인, 회원정보 관리, 게시판, 데이터베이스 연동, 온라인 결제 등 다양한 웹 기능을 구현할 수 있다.

PHP는 워드프레스(WordPress), 드루팔(Drupal) 등 널리 사용되는 콘텐츠 관리 시스템(CMS)의 기반 기술로도 활용된다. 따라서 PHP 자체에 보안 취약점이 발생하면 이를 사용하는 웹사이트와 웹 애플리케이션뿐 아니라 해당 서비스를 운영하는 서버 환경에도 영향을 미칠 수 있다.

CVSS 9.2점의 중대 취약점 2건, 원격 코드 실행 가능성 확인

PHP 보안팀은 2026년 10월 20일 공식 공지를 통해 CVSS(Common Vulnerability Scoring System) v4.0 기준 9.2점으로 평가된 중대 취약점 2건에 대한 보안 업데이트를 예고했다.

이어 10월 21일 정식 보안 권고문을 발표하면서 해당 취약점이 인증되지 않은 공격자의 원격 코드 실행을 허용할 수 있다고 공식 확인했다.

이번에 공개된 CVE-2026-109618과 CVE-2026-109619는 모두 PHP의 내부 요청 처리 과정에서 발생하는 취약점이다. 두 취약점은 발생 원인에는 차이가 있지만, 인증되지 않은 공격자가 원격에서 임의의 코드를 실행할 수 있다는 공통점이 있다. 주요 내용은 다음과 같다.

구분 CVE-2026-109618 CVE-2026-109619
취약점 유형 메모리 부족 처리 과정의 데이터 손상 해제된 메모리와 관련된 내부 상태 재사용
주요 원인 요청 데이터가 완전히 초기화되지 않은 상태에서 메모리 부족으로 처리가 중단되고, 이후 정리 과정에서 잘못된 데이터를 유효한 것으로 처리할 가능성 요청 처리에 사용된 내부 상태가 메모리 해제 후에도 남아, 후속 요청에서 초기화 전에 재사용될 가능성
잠재적 영향 인증 없는 원격 코드 실행 인증 없는 원격 코드 실행
심각도 CVSS v4.0 9.2 CVSS v4.0 9.2

[표 1] PHP 중대 취약점 2건의 주요 내용

두 취약점 모두 CVSS v4.0 기준 최고 심각도 등급인 '긴급(Critical)'에 해당한다. 실제 공격 가능성과 영향 범위는 PHP 버전 및 웹 서버 실행 환경에 따라 달라질 수 있으므로, 기업은 공식 보안 권고문을 기준으로 자사 시스템의 영향을 확인해야 한다.

원격 코드 실행(RCE, Remote Code Execution)은 공격자가 네트워크를 통해 대상 시스템에서 임의의 코드를 실행할 수 있는 취약점을 의미한다. 공격에 성공하면 실행 권한과 시스템 환경에 따라 악성코드 실행, 정보 탈취, 서버 침해 등으로 이어질 수 있다.

특히 PHP 보안팀은 이번 취약점이 PHP-FPM, Apache의 mod_php, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 처리하는 PHP 환경에 영향을 줄 수 있다고 설명했다.

이 중 Apache의 mod_php 환경은 애플리케이션 코드가 실행되기 전 인증되지 않은 요청만으로 공격을 유발할 수 있는 사례가 확인돼 상대적으로 위험도가 높은 환경으로 평가됐다.

따라서 기업은 PHP 기반 웹사이트의 사용 여부뿐 아니라 실제 웹 서버의 실행 방식과 구성 환경까지 함께 점검해야 한다.

PHP 보안 업데이트 배포…영향받는 시스템은 즉시 적용해야

PHP 보안팀은 2026년 10월 21일 두 취약점을 해결하기 위한 보안 업데이트를 배포했다. PHP 8.2부터 8.5까지 각 버전 계열에 대한 수정 버전이 제공됐으며, PHP 보안팀은 해당 버전을 사용하는 모든 사용자에게 즉각적인 업데이트를 권고했다.

공식 발표에 따른 수정 버전은 다음과 같다.

PHP 버전 계열 보안 업데이트 버전
PHP 8.5 8.5.12
PHP 8.4 8.4.27
PHP 8.3 8.3.36
PHP 8.2 8.2.35

[표 2] PHP 중대 취약점 보안 업데이트 버전

위 버전은 2026년 10월 21일 PHP 보안팀의 공식 발표를 기준으로 한다. 기업은 운영 중인 PHP 버전을 확인하고 해당 버전 계열에 맞는 보안 업데이트를 적용해야 한다. 리눅스 배포판이나 관리형 서비스 환경에서는 공급업체가 별도로 제공하는 보안 수정 사항도 확인할 필요가 있다.

PHP 보안팀은 이번 취약점의 심각성을 고려해 PHP 7.4, 8.0, 8.1의 소스 코드에 적용할 수 있는 최소한의 보안 수정 사항도 제공했다고 설명했다.

다만 이는 공식 지원이 종료된 버전의 일반적인 보안 지원이 재개됐다는 의미는 아니다. 장기적으로는 지원되는 PHP 버전으로 전환하는 것이 필요하다.

PHP 보안팀은 임시 완화 조치만으로는 취약점을 완전히 해결할 수 없으며, 보안 업데이트가 유일한 근본적인 대응 방안이라고 강조했다.

국내에서도 약 11만 개 PHP 호스트 노출 추정

PHP는 전 세계 웹사이트와 웹 애플리케이션에서 광범위하게 사용되고 있어, 중대한 취약점이 발견될 경우 다수의 인터넷 서비스가 영향을 받을 수 있다.

AhnLab TIP에서 소개한 인터넷 자산 검색 기반 조사에 따르면, 취약한 PHP 버전을 사용하는 것으로 추정되는 호스트가 미국에서 548,420개, 중국에서 235,906개, 독일에서 193,470개 관측됐다.

한국에서도 112,183개 호스트가 관측돼 전체의 약 4.35%를 차지했다.

국가 관측 호스트 수 비중
미국 548,420 21.27%
중국 235,906 9.15%
독일 193,470 7.50%
일본 151,039 5.86%
프랑스 121,706 4.72%
한국 112,183 4.35%

[표 1]. 취약한 PHP 버전 사용 추정 호스트의 국가별 관측 현황(상위 6개국, AhnLab TIP 제공 자료 기준)

해당 수치는 인터넷 자산 검색을 통해 관측된 PHP 호스트에 대한 추정치로, 모든 호스트가 이번 취약점에 영향을 받거나 실제 공격 가능한 상태라는 의미는 아니다. 정확한 위험 여부는 PHP 버전과 서버 실행 환경, 보안 설정 및 패치 적용 여부 등을 종합적으로 확인해야 한다.

기업 웹사이트와 웹 애플리케이션에 미치는 영향

PHP는 기업 홈페이지뿐 아니라 고객 포털, 전자상거래 사이트, 콘텐츠 관리 시스템, 내부 업무 시스템 등 다양한 웹 서비스에서 사용된다.

특히 이번 취약점은 웹 애플리케이션의 특정 기능에 국한되지 않고 PHP의 내부 요청 처리 과정과 관련돼 있어, 웹 서버의 실행 환경과 보안 설정을 함께 확인하는 것이 중요하다.

PHP 보안팀은 Apache의 mod_php 환경에서 애플리케이션 코드 실행 이전에 공격이 유발될 수 있다고 설명했다. 따라서 웹 애플리케이션에 별도의 인증 기능이 구현돼 있더라도 서버 환경에 따라 취약점 공격을 충분히 방어하지 못할 가능성이 있다.

또한 기업이 직접 운영하는 웹 서버 외에도 외부 호스팅, 클라우드 및 관리형 서비스 환경에서 PHP를 사용하는 경우 공급업체의 보안 업데이트 적용 여부를 확인해야 한다.

웹사이트가 정상적으로 작동하고 있다는 사실만으로 취약점이 존재하지 않는다고 판단해서는 안 된다. 운영 중인 PHP 버전과 서버 구성을 기준으로 영향 여부를 점검해야 한다.

PHP 취약점 대응을 위한 보안 권고

안랩은 PHP 기반 웹사이트와 웹 애플리케이션을 운영하는 기업에 다음과 같은 보안 조치를 권고한다.

  1. PHP 사용 자산 및 버전 확인
    운영 중인 웹 서버와 웹 애플리케이션의 PHP 사용 여부와 설치 버전을 확인해야 한다. 외부에 노출된 서비스뿐 아니라 내부 시스템, 클라우드 및 외부 호스팅 환경도 점검 대상에 포함할 필요가 있다.
    특히 PHP-FPM, Apache mod_php, php-cgi 등 실제 PHP 실행 환경을 함께 확인해 취약점의 영향을 평가해야 한다.
  2. 공식 보안 업데이트 즉시 적용
    PHP 보안팀이 배포한 수정 버전으로 신속하게 업데이트해야 한다.
    현재 공개된 수정 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35이며, 리눅스 배포판이나 관리형 서비스 환경에서는 해당 공급업체가 제공하는 보안 업데이트를 확인해야 한다.
    업데이트 후에는 실제 적용 버전과 서비스 정상 작동 여부를 검증해야 한다.
  3. 업데이트가 어려운 환경에서는 임시 완화 조치 검토
    즉시 업데이트하기 어려운 경우 PHP 보안팀의 공식 권고에 따라 취약점별 임시 완화 조치를 검토할 수 있다.
    CVE-2026-109619와 관련해서는 session.upload_progress.enabled=0 설정을 적용하고 PHP 워커 프로세스를 재시작하는 방안이 제시됐다. PHP 8.5 환경에서는 fatal_error_backtraces=0 설정도 특정 공격 경로를 줄이는 데 도움이 될 수 있다.
    CVE-2026-109618에 대해서는 PHP 메모리 제한과 파일 업로드 크기, HTTP 요청 처리 제한 등을 조정하는 방안이 안내됐다.
    다만 이러한 조치는 특정 공격 경로의 위험을 줄이기 위한 것으로, 취약점을 완전히 해결하지는 못한다. 또한 서버의 성능과 서비스 기능에 영향을 미칠 수 있으므로 공식 권고문의 세부 조건을 확인한 후 적용해야 한다.
  4. 웹 서버 이상 행위 모니터링 강화
    웹 서버의 접근 및 오류 로그를 점검하고, 비정상적인 HTTP 요청이나 프로세스 실행, 의심스러운 파일 생성 등의 이상 징후를 모니터링해야 한다.
    공식적으로 확인된 공격 지표나 탐지 규칙이 공개되면 이를 검증해 보안 모니터링에 반영할 필요가 있다.
  5. PHP 공식 홈페이지에서 최신 보안 공지 지속 확인
    이번 취약점은 공식 보안 업데이트가 배포됐지만, 향후 추가적인 기술 정보나 보안 권고, 후속 업데이트가 공개될 수 있다.
    따라서 기업과 웹사이트 운영자는 PHP 공식 홈페이지에서 최신 보안 공지와 수정 버전, 공급업체별 업데이트 정보를 지속적으로 확인해야 한다.
    특히 운영 중인 PHP 버전과 관련된 추가 보안 업데이트가 발표될 경우 신속하게 영향을 평가하고 적용할 수 있도록 관리 체계를 유지하는 것이 중요하다.
    PHP 공식 홈페이지: https://www.php.net/
    PHP 공식 보안 권고문(2026년 10월 21일): https://www.php.net/archive/2026.php#2026-10-21-5
    PHP 다운로드 및 업데이트: https://www.php.net/downloads.php

중대 취약점 대응의 핵심은 신속한 업데이트와 지속적인 관리

이번 PHP 취약점은 인증 없이 원격 코드 실행이 가능하다는 점에서 기업의 각별한 주의가 필요한 보안 이슈다.

특히 PHP는 다양한 웹 서비스 환경에서 사용되는 만큼, 취약한 버전을 사용하는 서버가 외부에 노출돼 있다면 보안 위험이 발생할 수 있다.

PHP 보안팀은 이번 취약점에 대한 수정 버전을 이미 배포했으며, 임시 완화 조치만으로는 충분한 보호가 어렵다고 강조했다.

따라서 기업은 운영 중인 PHP 사용 현황과 버전을 신속하게 확인하고, 공식 보안 업데이트를 적용해야 한다. 아울러 PHP 공식 홈페이지의 최신 보안 공지를 지속적으로 확인하고 웹 서버의 이상 행위를 모니터링함으로써 추가적인 보안 위험에 대응해야 한다.

한편, 이번 취약점 공개 이후 GitHub에서는 관련 PoC와 점검·방어 도구가 빠르게 등장하고 있다. 안랩이 GitHub의 'php2shell' 관련 저장소 100개를 분석한 결과, 공격 재현 목적의 저장소뿐 아니라 탐지 및 완화 도구도 다수 확인됐다.

다음 콘텐츠에서는 이러한 공개 저장소의 확산 현황과 실제 보안 위험, 공개 코드 활용 시 주의할 점을 살펴본다.

참고자료

  1. PHP Security Team, Security advisory: Critical remote code execution vulnerabilities, update now, 2026. 10. 21.
  2. PHP 공식 홈페이지, PHP Downloads
  3. AhnLab TIP, 「PHP, CVSS 9.2 중대 취약점 2건 긴급 보안 업데이트 예고」, 2026. 10. 21.


패치 및 참고 링크


  • AhnLab
목록 보기