PHP 긴급 보안 업데이트, 원격코드실행 취약점 수정
원제: Today's PHP security release, and how we're strengthening security
왜 중요한가
전 세계 웹 서버 상당수가 PHP를 사용하는 만큼, 인증 없는 RCE 취약점의 파급 범위는 광범위하며 즉각적 패치가 필수적이다.
PHP Foundation이 2026년 10월 21일 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 긴급 릴리스했다. 이번 업데이트는 인증 없이 서버에서 원격 코드 실행이 가능한 심각한 취약점 2건(CVE-2026-109618, CVE-2026-109619)을 수정하며, PHP를 운영하는 모든 조직에 즉각적인 업데이트를 촉구했다.
PHP Foundation은 두 건의 심각한 원격 코드 실행(RCE) 취약점을 수정한 보안 릴리스를 발표했다.
첫 번째 취약점인 CVE-2026-109618은 PHP의 메모리 한도(memory_limit)에 도달하는 순간 타이밍에 따라 초기화되지 않은 내부 데이터가 남겨지고, 이후 이를 유효한 데이터로 처리하면서 메모리 손상이 발생하는 OOM 손상 문제다. Apache mod_php 환경에서는 애플리케이션 코드 실행 전 단계에서 인증 없이 트리거가 가능하며, 기본 설정에서 원격 코드 실행이 실제로 확인됐다. PHP-FPM 환경에서도 애플리케이션 수준 코드 경로를 통해 RCE가 확인됐다.
두 번째 취약점인 CVE-2026-109619는 특정 시점의 치명적 오류 발생 시 내부 상태가 이전 요청의 메모리를 가리키는 채 남는 stale state 문제다. 동일 워커가 다음 요청을 처리할 때 해제된 메모리를 재사용하는 use-after-free가 발생하며, Apache mod_php 환경의 실제 애플리케이션에서 RCE가 실증됐다.
두 취약점 모두 거의 모든 요청이 거치는 메모리 관리·오류 처리 영역에 존재한다. PHP Foundation은 이번 취약점의 최초 단서가 2024년 Sovereign Tech Agency 지원으로 OSTIF를 통해 진행된 Quarkslab의 외부 보안 감사에서 비롯됐다고 밝혔다.
OOM 문제의 경우 2024년 이론적 익스플로잇 가능성이 제기됐으나, 명확한 공격 경로가 없고 수정 방식마다 하위 호환성 파괴, 새로운 서비스 거부 위험, 대규모 서드파티 익스텐션 변경 필요 등 상충 요소가 존재해 수개월간 수정 작업이 반복적으로 중단됐다. PHP Foundation은 이를 '보안팀의 의사결정 구조와 자원 부족에 의한 구조적 실패'라고 공개 인정하며, 이후 프로세스 개선에 착수했다고 밝혔다.