2026년 10월 21일 PHP 보안팀이 인증 없이 원격 코드 실행이 가능한 치명적 취약점 2건을 수정한 긴급 버전을 공개했습니다. 웹사이트나 워드프레스 서버를 직접 운영한다면 플러그인 업데이트와 별개로 서버의 PHP 버전을 확인해야 합니다.
지금 확인된 핵심 내용
- 취약점은 CVE-2026-109618과 CVE-2026-109619입니다.
- PHP 공식 발표 기준 두 취약점 모두 인증되지 않은 원격 요청으로 코드 실행까지 이어질 수 있습니다.
- 수정 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다.
- PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 처리하는 PHP 설치 환경이 확인 대상입니다.
- PHP 보안팀은 우회 설정만으로 완전히 막을 수 없으며 업데이트가 유일한 안전한 선택이라고 밝혔습니다.
PHP 공식 보안 공지는 CVE-2026-109618을 메모리 부족 처리 과정의 손상 문제, CVE-2026-109619를 해제된 메모리를 뒤이은 요청에서 다시 참조할 수 있는 전역 상태 문제로 설명합니다. 특히 mod_php 환경에서는 애플리케이션 코드가 실행되기 전 공격이 시작될 수 있는 사례가 확인됐습니다.
워드프레스 사이트도 영향을 받나
워드프레스는 서버에서 PHP를 사용하므로 확인 대상에는 포함됩니다. 다만 “워드프레스 사이트라면 모두 이미 해킹됐다”는 뜻은 아닙니다. 실제 위험은 서버에 설치된 PHP 버전, 웹서버 구성, 호스팅 업체의 백포트 패치 적용 여부에 따라 달라집니다.
이번 조치는 워드프레스 코어·테마·플러그인 자동 업데이트와 별개입니다. 관리형 호스팅이나 웹호스팅을 쓰는 경우 고객이 직접 PHP 패키지를 바꾸지 못할 수 있으므로, 호스팅 업체 공지와 제어판의 PHP 버전을 우선 확인해야 합니다.
사이트 운영자가 지금 할 일
- 현재 PHP 버전을 확인합니다. 호스팅 제어판, 서버 패키지 관리자 또는 워드프레스 관리자 화면의 ‘도구 → 사이트 건강 → 정보 → 서버’에서 확인할 수 있습니다.
- 지원되는 수정 버전 이상으로 올립니다. 8.5 계열은 8.5.12, 8.4는 8.4.27, 8.3은 8.3.36, 8.2는 8.2.35가 기준입니다.
- PHP 8.1 이하라면 공급업체에 백포트 여부를 문의합니다. PHP 프로젝트의 공식 지원은 끝났으며, 일부 리눅스 배포판이나 장기지원 업체만 별도 패치를 제공할 수 있습니다.
- 업데이트 후 PHP 작업자를 모두 재시작합니다. 웹서버·PHP-FPM 재시작 여부도 확인하고, 오류 로그와 접근 로그에서 비정상 요청이나 새로 생긴 관리자 계정·파일 변경을 점검합니다.
- 백업과 복구 지점을 확보합니다. 이미 침해가 의심되면 단순 업데이트만으로 끝내지 말고 서버를 격리한 뒤 보안 담당자 또는 호스팅 업체에 분석을 요청해야 합니다.
공유 호스팅 이용자는 “보안 패치 적용 완료” 여부와 실제 적용된 PHP 빌드 번호를 업체에 문의하는 편이 정확합니다. 배포판이 자체 패치를 이전 버전 번호에 백포트했다면 숫자만 보고 미패치로 단정할 수 없습니다.
당장 업데이트할 수 없다면
PHP 보안팀은 임시 완화책도 완전한 해결책이 아니라고 명시했습니다. 공식 공지에는 메모리 제한과 업로드 크기 조정, session.upload_progress.enabled=0 설정, 작업자 재시작 등이 제시돼 있지만 구성에 따라 효과가 제한됩니다. 인터넷에 공개된 서버라면 업데이트 전까지 접근을 제한하거나 서비스를 격리하는 방안도 검토해야 합니다.
일반 이용자는 무엇을 해야 하나
개인이 휴대전화나 PC의 PHP를 업데이트할 일은 보통 없습니다. 이번 문제는 주로 웹서비스 운영 서버 측 취약점입니다. 다만 자주 쓰는 사이트가 일시 중단될 수 있고, 운영사가 침해 사실을 공지한다면 해당 서비스의 비밀번호를 바꾸고 동일 비밀번호를 쓰는 다른 계정도 함께 변경해야 합니다.
공격 여부는 아직 어떻게 봐야 하나
취약점과 수정 버전 공개는 PHP 공식 자료로 확인된 사실입니다. 반면 실제 공격 범위는 보안업체와 기관별 관측이 엇갈리고 있어, 특정 사이트가 침해됐다고 단정할 단계는 아닙니다. 로이터는 유럽 일부 정부·공공 웹사이트가 예방 차원에서 서비스를 내렸고 초기 공격 징후가 보고됐다고 전했습니다. 운영자는 과장된 소문보다 공식 패치 적용 여부와 자체 로그를 기준으로 판단해야 합니다.