PHP 취약점 CVE-2026-109618·109619, 긴급 패치 안내

PHP 프로젝트는 2026년 10월 21일. 인증 없이 원격 코드 실행을 허용할 수 있는 두 가지 심각한 취약점에 대한 업데이트를 공개했다. PHP 기반 사이트와 애플리케이션을 운영하는 관리자라면 서버에서 사용 중인 PHP 엔진을 즉시 업데이트하고. 실행 중인 프로세스가 올바른 버전을 로드했는지 확인해야 한다. CMS만 업데이트해서는 언어 자체의 결함을 해결할 수 없다.

🚨 Organizations should immediately patch critical PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619. These vulnerabilities enable unauthenticated #RCE and affect PHP installations serving web requests. Learn more: 🔗 https://t.co/8vu6SvNzfB pic.twitter.com/LUWik7aQcG
, CISA Cyber (@CISACyber) October 21, 2026

두 취약점은 CVE-2026-109618 및 CVE-2026-109619로 식별되며, 모두 CVSS v4.0 기준 9.2점의 심각도를 받았다. Cloudflare는 자사 고객을 대상으로 한 공격 트래픽을 관측했다고 밝혔으며, CloudLinux도 알려진 패턴에 부합하는 공격 시도를 보고했다. 이는 실제 악의적 활동이 진행 중임을 보여주는 증거이나, 취약한 모든 설치 환경이 이미 침해됐다는 의미는 아니다.

메모리 관리의 두 가지 취약점

CVE-2026-109618은 PHP가 메모리 부족 상황에서 처리를 중단할 때 발생하는 동작과 관련이 있다. 처리 중단 시 내부 데이터가 일부만 초기화된 상태로 남을 수 있으며. 요청 종료 과정에서 프로세스가 이를 유효한 데이터로 취급할 수 있다. 공식 보안 권고문에 따르면. 웹 프로세스를 실행하는 계정 권한으로 인증 없이 원격 코드 실행이 가능한 수준까지 피해가 확대될 수 있다.

CVE-2026-109619는 메모리가 해제된 뒤에도 해당 메모리를 참조하는 내부 상태가 계속 접근 가능한 상태로 남는 문제다. 이후 동일한 프로세스가 처리하는 요청이 이미 무효화된 참조를 활용할 수 있다. 이 취약점 역시 원격 코드 실행이 가능함이 입증됐다. 이것이 곧 시스템 관리자 권한을 자동으로 획득한다는 의미는 아니며, 초기 피해 범위는 해당 프로세스의 실행 권한에 따라 결정된다.

어떤 서버가 위험에 노출됐나

PHP 보안 권고문은 PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed를 통해 웹 요청을 처리하는 설치 환경을 위험 대상으로 명시했다. 프로젝트 측은 Apache mod_php 환경에서 위험이 가장 높다고 판단했다. 이 경우 애플리케이션 코드 실행이 시작되기 전 단계에서 공격이 트리거될 수 있음이 입증됐으며. CMS에 삽입된 검사 로직은 이 경로에서 충분한 보호 수단이 될 수 없다.

위험도는 모든 구성에서 동일하지 않다. 보안 권고문은 실행 모드, 확장 기능, 애플리케이션에 따라 달라지는 조건을 구분하고 있다. CVE-2026-109619의 경우 PHP-FPM 환경에서도 세션 처리 주기를 통한 원격 실행이 검증됐다. PHP-FPM을 사용한다는 이유만으로 해당 서버가 안전하다고 볼 수 없다.

기억할 세 가지 사항

심각도: 두 취약점 모두 CVSS v4.0 9.2점의 치명적 수준.
조치 방법: PHP 업데이트 후 사이트를 서비스하는 프로세스가 올바른 코드를 로드했는지 확인.
검증 방법: 터미널에서 확인되는 명령어 버전이 아닌, 웹 서버가 실제로 사용하는 엔진을 직접 확인.

수정된 버전과 백포트 패키지 문제

결과적으로, PHP 프로젝트는 유지 관리 중인 네 개 브랜치에 대해 최초 수정 버전을 공개했다. 해당 버전 정보는 프로젝트가 직접 배포하는 릴리스 기준이며, Linux 배포판과 지원 벤더의 패키지를 사용하는 경우에는 각 배포판의 보안 권고문도 별도로 확인해야 한다.

Two critical vulnerabilities have been identified in PHP, a widely used programming language that powers websites and web applications. These vulnerabilities (CVE-2026-109618 and CVE-2026-109619) could allow malicious cyber actors to remotely execute code in PHP core, potentially… pic.twitter.com/tnwiQv5v0F
, FBI Cyber Division (@FBICyberDiv) October 21, 2026

두 취약점에 대한 공식 보안 권고문에서 정확한 수정 버전 정보를 확인할 수 있다.

PHP 8.1과 그 이전 브랜치는 PHP 프로젝트로부터 더 이상 공식 업데이트를 받지 못합니다. 일부 벤더는 구버전에 수정 사항을 이식한 이른바 백포트 패키지를 유지 관리하고 있습니다. 이런 패키지의 경우, 원래 버전 번호만으로는 수정 사항 포함 여부를 확인할 수 없으며, 실제 배포된 리비전과 벤더의 안내를 직접 확인해야 합니다. PHP 8.2의 공식 보안 지원은 2026년 12월 31일에 종료됩니다. 이번 패치 적용과 마이그레이션 계획은 별개의 작업입니다.

업데이트 방법 및 결과 확인

업데이트는 서버에서 사용 중인 모든 PHP 설치본에 적용되어야 합니다. 단일 시스템에 여러 버전. 여러 사이트, 별도 프로세스가 공존할 수 있습니다. cPanel 릴리스 노트는 패널 내부 PHP와 사이트용 EasyApache 패키지를 구분해서 설명합니다. Plesk와 CloudLinux도 특정 컴포넌트 및 플랫폼에 대한 안내를 별도로 제공하므로, 실제 사용 환경에 맞는 가용성을 먼저 확인하십시오.

php -v 명령어는 셸에서 실행 중인 PHP 바이너리를 표시하지만, 이는 웹사이트에 설정된 엔진과 다를 수 있습니다. 올바른 컨텍스트를 확인하려면 제어판이나 웹 서버에서 실행하는 진단 페이지를 활용하십시오. phpinfo()를 사용하는 경우. 접근을 제한하고 확인 후 즉시 해당 페이지를 삭제해야 합니다. 경로, 설정, 헤더, 환경 변수가 모두 노출될 수 있기 때문입니다. 관리자 또는 벤더와 함께 진행할 절차는 다음과 같습니다:

백업 또는 스냅샷 준비: 복구 절차를 사전에 확보합니다.
사용 중인 버전과 컴포넌트 파악: 각 사이트에 할당된 PHP 엔진과 제어판이 사용하는 엔진을 모두 포함합니다.
올바른 패키지 설치: 배포판 패키지 관리자 또는 벤더 공식 도구를 통해 진행합니다.
관련 서비스 및 프로세스 재시작: PHP-FPM, Apache, 혹은 사용 중인 환경에 맞는 안내를 따릅니다. 이전 프로세스가 계속 요청을 처리하지 않도록 반드시 확인하십시오.
터미널 및 사이트에서 결과 확인: 버전, 패키지 리비전, 애플리케이션 정상 동작을 검증합니다.

WAF와 임시 조치는 패치를 대체할 수 없습니다

Cloudflare와 CloudLinux는 일부 공격 패턴을 차단하기 위한 규칙을 배포한다고 발표했습니다. 이는 추가적인 방어 계층일 뿐, 서버에서 취약점 자체를 제거하는 것이 아닙니다. Cloudflare 자체적으로도 WAF 보호 기능이 활성화된 상태에서도 PHP 업데이트를 적용할 것을 권고하고 있습니다.

공식 보안 권고문에 명시된 설정 변경도 특정 경로만을 커버하며, 범용적인 해결책이 되지 않습니다. 각 애플리케이션 환경에 맞게 평가하고, 설정의 정확한 위치에 적용해야 합니다. 이 두 가지 취약점으로부터 완전히 보호받으려면 올바른 코드, 즉 PHP 프로젝트 또는 패치가 포함된 벤더 패키지를 통해 배포된 수정 코드가 반드시 필요합니다.