2026 김천김밥축제 셔틀·주차: 금요일·주말 시간표와 쉬는 시간

PHP 치명적 취약점 업데이트: 웹사이트 운영자가 호스팅사에 확인할 것

날라미디어

2026년 10월 22일

2026년 10월 22일 확인한 KISA 보안공지에 따르면 PHP에서 CVE-2026-109618과 CVE-2026-109619, 두 건의 원격 코드 실행 취약점이 공개됐습니다. 보안 공지의 핵심은 단순히 PHP 버전 숫자만 확인하는 것이 아닙니다. 웹사이트가 실제로 어떤 PHP 런타임을 쓰는지, 패치가 적용됐는지, 실행 중인 프로세스가 재시작됐는지를 함께 확인해야 합니다.

대표 이미지는 이해를 돕기 위해 AI로 만든 참고 이미지이며 실제 침해 현장을 촬영한 사진이 아닙니다.

파란 표시등이 보이는 데이터센터 서버 랙 — 서버 랙 참고 사진: panumas nikhomkhai / Pexels. 실제 취약 서버나 공격 장면을 보여주는 사진은 아닙니다.

어떤 사이트가 확인해야 하나

PHP가 웹 요청을 처리하는 인터넷 공개 서버가 우선 확인 대상입니다. KISA는 PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed 등 PHP를 실행하는 서비스를 예로 들었습니다. 사이트 운영자가 서버를 직접 관리하지 않고 호스팅 회사나 솔루션 업체가 PHP를 관리한다면, KISA 권고처럼 해당 업체에 조치 여부를 확인하고 요청하는 편이 안전합니다.

공식 공지의 해결 버전

PHP 계열	공식 해결 버전
8.5	8.5.12 이상
8.4	8.4.27 이상
8.3	8.3.36 이상
8.2	8.2.35 이상

리눅스 배포판이나 장기지원 업체가 보안 패치를 백포트한 경우 버전 문자열이 위 숫자와 다를 수 있습니다. 이때는 숫자만 보고 미패치라고 단정하지 말고, 공급업체의 패키지 변경 기록에서 두 CVE가 반영됐는지 확인해야 합니다. 반대로 서버 터미널의 php -v 결과가 새 버전이어도 웹서비스가 다른 PHP 바이너리나 별도 FPM 풀을 쓸 수 있으므로 웹 요청을 처리하는 런타임을 확인해야 합니다.

호스팅사에 그대로 물어볼 확인 항목

우리 도메인의 공개 웹서비스가 사용하는 PHP 런타임에 CVE-2026-109618과 CVE-2026-109619 패치가 적용됐나요?
적용된 패키지나 런타임 버전은 무엇인가요? 버전 표기가 기준보다 낮다면 공급사 백포트가 포함됐는지 확인해 주세요.
PHP-FPM·LiteSpeed 등 PHP를 실행하는 서비스의 프로세스도 패치 적용 후 재시작했나요?
관리자 화면이나 별도 PHP 앱 등 같은 계정·서버에서 운영되는 다른 사이트도 확인했나요?
패치가 지연된다면 임시 조치는 무엇이며, 정식 패치 예정 시점은 언제인가요?

특히 관리형 WordPress 호스팅에서는 워드프레스 플러그인 업데이트와 서버의 PHP 보안 패치가 같은 작업이 아닙니다. 관리자 화면의 플러그인 업데이트만으로 서버 런타임 패치 여부를 확인할 수 없으므로 호스팅사 답변을 따로 받아 기록해 두세요.

임시 설정만으로 해결됐다고 보면 안 됩니다

PHP 보안팀은 완전한 해결책은 패치가 포함된 버전으로 업데이트하는 것이라고 밝혔습니다. KISA와 PHP 공지에 임시 설정·요청 제한 방안이 소개돼 있지만 특정 공격 경로의 위험을 낮추는 조치이지, 모든 경우를 막는 완전한 대체책은 아닙니다. 설정 변경은 서비스 호환성에 영향을 줄 수 있으므로 서버를 직접 관리하는 담당자나 호스팅사와 적용 범위를 확인하세요.

PHP 8.1 이하를 사용한다면 PHP 프로젝트의 일반 보안 업데이트가 제공되지 않는 계열이므로 지원되는 버전으로 옮길 계획을 세워야 합니다. PHP 8.2는 2026년 12월 31일 보안 지원 종료 예정이라고 PHP 공지가 안내합니다. 공급사 백포트가 제공되는 예외가 있을 수 있으니 현재 패치 상태와 향후 지원 일정은 별도로 확인하세요.

침해가 의심될 때는 재시작부터 하지 마세요

이 취약점 공지가 모든 PHP 사이트의 침해를 뜻하지는 않습니다. 다만 침해 흔적이 의심되면 KISA는 서버를 끄거나 재시작하지 말고 외부 접속을 차단한 뒤 로그와 실행 중인 프로그램·네트워크 정보를 보존하고 신고하도록 안내합니다. 흔적 보존 전에 임의로 업데이트나 재시작을 진행하지 말고, 보안 담당자 또는 호스팅사에 먼저 연락하세요.

공격 관련 표현은 기관별로 구분해야 합니다

KISA는 취약점 정보가 보안 업데이트 배포 전에 유출됐고 해외 보안업체를 중심으로 공격 시도가 보고됐다고 적었습니다. 미국 CISA는 2026년 10월 21일 공지 시점까지 악용을 관찰하지 못했다고 밝혔습니다. 두 표현은 서로 다른 기관의 관찰 범위와 시점을 나타내므로, 공격이 모든 사이트에서 확인됐다고 확대 해석해서는 안 됩니다.