웹사이트 제작 프로그래밍 언어 ′PHP′ 보안 취약...최신 패치 버전 업데이트 강력 권고

글로벌 웹사이트 광범위 사용
지원 종료 구버전 교체 당부

[HBN뉴스 = 신영관 기자] 전 세계에서 웹사이트 제작에 널리 쓰이는 프로그래밍 언어 'PHP'에서 보안 취약점이 발견돼 한국인터넷진흥원(KISA)이 즉시 최신 패치 버전을 적용해 보안 업데이트할 것을 강하게 권고했다.

이미지=구글 제미나이 생성

KISA에 따르면 이번에 확인된 취약점은 예외 상황을 제대로 처리하지 못하는 '부적절한 예외 상황 처리'(Improper Handling of Exceptional Conditions, CVE-2026-109618) 취약점과 이미 해제된 메모리를 다시 참조하는 '해제 후 사용'(Use After Free, CVE-2026-109619) 취약점 등 2건이다.

관련 업계에서는 CVE-2026-109618의 경우 CVSS 점수 약 9.2. PHP 런타임이 longjmp()를 사용해 메모리 오버플로 조건을 처리할 때 컨텍스트가 완전히 초기화되기 전에 종료돼, 초기화되지 않은 메모리가 노출되고 원격 코드 실행(RCE)으로 이어지는 문제가 발생할 수 있다.

CVE-2026-109619: CVSS 점수 약 9.2. longjmp()를 통한 예외 처리 과정에서 전역 포인터 변수가 해제된 메모리 주소를 가리키게 되어(Use-After-Free / Dangling Pointer), 결과적으로 원격 코드 실행(RCE)이 가능해지는 문제가 발생할 수 있다.

이번 PHP 보안 결함은 인증되지 않은 공격자가 원격 코드 실행(RCE)을 달성하여 취약한 웹 서버의 제어권을 완전히 탈취할 수 있는 것으로 전해진다.

영향을 받는 버전은 PHP 8.2와 8.3, 8.4, 8.5 등 4개 버전이다. 각각 8.2.35, 8.3.36, 8.4.27, 8.5.12 미만 버전을 사용하는 경우 취약점에 노출된다.

KISA는 해당 버전 이상으로 업데이트할 것을 권고했다. 특히 PHP 8.1 이하 버전은 이미 공식 보안 지원이 종료된 만큼 지원 중인 버전으로 업그레이드해야 한다고 강조했다. PHP 개발 팀은 2026년 10월 21일에 긴급 보안 업데이트를 배포했습니다. 공식 지원이 종료된 구버전(PHP 7.4, 8.0, 8.1 등)에 대해서도 백포트 패치가 제공됐다.

KISA 외에도 CISA, NSA, FBI, EU CERT 등 세계 사이버 보안 당국도 최고 수준의 긴급 경보를 발령한 상태다.

보안업계 관계자들은 "즉각적인 패치가 불가능한 경우, 완화 조치나 패치가 성공적으로 적용될 때까지 취약한 웹 서버를 오프라인 상태로 전환하는 것이 권장된다"라며"Cloudflare와 같은 제공업체에서 이용 가능한 경우 웹 애플리케이션 방화벽(WAF) 규칙을 임시 방어층으로 활용하되, 핵심 PHP 런타임 업데이트는 반드시 진행해야 한다"고 권고했다.