PHP 치명적 RCE 취약점 2건, 2026년 10월 21일 보안 업데이트 예고
- PHP 보안팀이 CVSS v4.0 9.2 등급의 치명적 취약점 2건(CVE-2026-109618, CVE-2026-109619)을 수정하는 보안 업데이트를 2026년 10월 21일 14:00 UTC에 공개할 예정임
- PHP 팀은 취약점 세부 내용이 공개되거나 실제 악용이 확인되면 일정보다 앞당겨 릴리스할 수 있다고 밝힘
- 커뮤니티에서는 공격 시연 영상과 PoC가 비공개로 공유되고 있다는 주장이 나오며, 영상에는 URL 입력만으로 서버 셸을 얻는 과정이 담긴 것으로 알려짐
- 댓글에 인용된 CERT-EU와 BleepingComputer 보도에 따르면 PHP 5부터 8까지 여러 버전이 영향을 받음
- 임시 완화책으로 php.ini의 session.upload_progress.enabled를 Off로 설정하는 방법이 거론되나 PHP 핵심 개발자는 이것만으로는 불충분하다고 봄
Hacker News 의견들
나는 패치 나올 때까지 서버 내려두는 쪽임. 영상 보니까 URL에 뭐 넣고 바로 셸 따더라.
LAMP나 WordPress 설치본 중에 PHP 패치가 안 나오거나 업체가 관리하는 곳 많아서 이거 한동안 털릴 듯.
CERT-EU랑 BleepingComputer 보도 기준으로 PHP 5부터 8까지 다 영향 받는다고 나옴.
session.upload_progress.enabled 끄는 게 임시 완화책으로 돌던데, 핵심 개발자가 그걸로는 부족하다고 했더라.
이거 RCE 체인이라서 php 함수 막아봤자 소용없음. system 함수 꺼두는 방어는 여기선 안 먹힘.
패치 왜 아직 안 나오냐는 얘기 많은데, 핵심 개발자 말로는 사용자가 실제로 설치 가능할 때 내보내려고 distro 빌드 시간 주려고 일부러 기다린 거라더라. 그 판단이 좀 아쉬움.
Chainguard 이미지 디렉터리에 8.5에서 8.2까지 패치 빌드 올라와 있는 것 같음.
PoC 다 완성된 건 아니라는 말도 있음. REPORT_VALIDATION.md 7장 한번 읽어봐.
최악의 취약점이라는 말은 좀 과함. 역대 top 10 안에도 못 들 듯. Heartbleed가 2014년이었음.