PHP 보안팀이 10월 20일(현지시간) 원격코드실행(RCE)으로 이어질 수 있는 치명적 취약점 두 건을 수정하는 긴급 보안 릴리스 일정을 공지했습니다. 두 취약점 모두 CVSS v4.0 기준 9.2점(치명적)으로 평가되었으며, 수정판은 세계표준시 10월 21일 14시, 한국시간으로는 같은 날 밤 11시에 배포될 예정입니다. PHP 재단 보안팀 소속 개발자 bukka 명의로 올라온 공식 공지문에는 “지금부터 준비해 두면 패치가 공개되는 즉시 적용할 수 있다”는 안내가 담겼습니다.
이 소식이 예정보다 먼저 널리 퍼진 이유는 따로 있습니다. 공식 공개 전에 취약점 세부 정보가 외부로 유출되면서 보안 업계에서 이를 “PHP2Shell”이라는 별칭으로 부르기 시작했고, 정식 발표 전인데도 CVE-2026-109618, CVE-2026-109619라는 번호까지 거론되기 시작한 것입니다. 다만 PHP 공식 채널은 이 두 번호를 아직 공식적으로 확인하지 않았습니다.
PHP 취약점, 정확히 어떤 문제인가요?
PHP 보안팀의 공식 공지 자체에는 기술적 세부 내용이 담기지 않았습니다. 세부 사항과 영향받는 버전은 패치 공개 시점에 함께 공표하겠다고만 밝힌 상태입니다. 다만 보안 업체들은 인증 절차 없이 원격으로 코드를 실행할 수 있는 결함이라고 분석하고 있으며, 일부 보안 블로그는 멀티파트 폼 데이터 업로드를 처리하는 PHP 엔진 내부 기능에서 발생하는 메모리 손상 결함일 가능성을 제기하고 있습니다. 이는 아직 공식 확인된 내용이 아니라 보안 연구자들의 분석에 따른 추정이라는 점을 밝혀둡니다.
패치는 언제, 어떤 버전에 나오나요?
PHP는 현재 8.2 이후 브랜치만 공식 지원하고 있습니다. 이번 긴급 패치도 8.2, 8.3, 8.4, 8.5 네 개 지원 브랜치에 각각 수정판이 나올 예정이며, 구체적인 버전 번호는 10월 21일 14시(UTC) 공식 발표와 함께 공개됩니다. 보안 업체 시큐어레이어7은 이미 지원이 끝난(EOL) PHP 8.1 이하 버전을 쓰는, 인터넷에 노출된 서버가 약 88만 4천 대에 이를 수 있다고 추산했습니다. 이들 구버전은 공식 패치 대상에서 제외됩니다.
왜 발표 전부터 이렇게 시끄러웠나요?
보안 전문 매체 더해커뉴스에 따르면 조율된 공개(coordinated disclosure) 전에 취약점 세부 정보가 먼저 유출됐고, 공격 도구로 보이는 화면까지 돌기 시작했습니다. 취약점 관리업체 패치스택은 “여러 호스팅 파트너로부터 실제 공격 시도 신고를 접수했다”고 밝혔고, 클라우드플레어도 초기 단계의 공격 정황을 관측했다고 전했습니다. 다만 공격 규모나 피해 사례가 구체적으로 몇 건인지는 확인되지 않았습니다.
내 워드프레스나 홈페이지도 영향을 받을까요?
이번 결함은 특정 프로그램이 아니라 PHP 언어 자체에 있는 것으로 지목되고 있어, 취약한 버전의 PHP로 구동되는 사이트라면 워드프레스, 드루팔, 마젠토, 줌라 등 어떤 프로그램을 쓰든 영향권에 들 수 있다고 보안 업체들은 보고 있습니다. 다만 실제로 어떤 조건에서 공격이 성립하는지, 어떤 설정이 안전한지는 공식 발표 전까지 확정할 수 없습니다.
관련해서 은행, 저축은행 두 곳 해킹 유출로 금감원 현장점검도 함께 보시면 좋습니다.
지금 당장 무엇을 해야 하나요?
PHP 보안팀은 “지금부터 준비해서 패치가 나오는 즉시 적용하라”고 당부하고 있습니다. 서버나 호스팅을 직접 관리하는 경우 10월 21일 밤 11시(한국시간) 이후 PHP 공식 발표를 확인해 지원 브랜치의 최신 버전으로 즉시 업데이트하는 것이 권장됩니다. 공유 호스팅을 쓰는 경우라면 호스팅 업체의 공지를 확인하는 것이 먼저입니다.
공식 발표와 보안업계 보고, 어떤 점이 다른가요?
PHP 공식 공지는 “CVSS v4.0 9.2점, 두 건의 치명적 취약점”이라는 등급과 건수만 확정했을 뿐, CVE 번호나 구체적 결함 내용은 아직 밝히지 않았습니다. 반면 보안 업계에서는 유출된 정보를 근거로 CVE-2026-109618·CVE-2026-109619라는 번호와 멀티파트 처리 결함이라는 분석을 내놓고 있고, 일부 매체는 초기 보도에서 CVSS 10.0이라는 수치를 언급하기도 했습니다. 두 수치가 엇갈리는 만큼, 이 글에서는 PHP 보안팀이 공식 확정한 9.2점을 기준으로 전달합니다.
자주 묻는 질문
PHP 긴급 보안 패치는 언제 배포되나요?
세계표준시 10월 21일 14시, 한국시간으로는 같은 날 밤 11시에 배포될 예정이라고 PHP 보안팀이 공식 공지했습니다.
이번 PHP 취약점의 CVE 번호는 무엇인가요?
보안 업계에서는 CVE-2026-109618과 CVE-2026-109619로 부르고 있지만, PHP 공식 발표는 이 번호를 아직 확정 공개하지 않았습니다.
워드프레스를 쓰고 있다면 무엇을 해야 하나요?
패치 공개 이후 서버의 PHP 버전을 즉시 최신 지원 버전(8.2~8.5 브랜치)으로 업데이트하거나, 공유 호스팅이라면 호스팅 업체의 업데이트 공지를 확인하시면 됩니다.
PHP 8.1 이하 버전을 쓰면 이번 패치를 받을 수 있나요?
받을 수 없습니다. PHP는 현재 8.2 이후 브랜치만 지원하고 있어 8.1 이하는 지원 종료(EOL) 상태로 공식 패치 대상에서 제외됩니다.
이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다. 구매자에게는 추가 비용이 발생하지 않으며, 상품 가격에도 영향을 주지 않습니다.
출처
- PHP.net, “Upcoming Critical PHP Security Release” (2026-10-20)
- PHP Foundation Discourse, “Upcoming Critical PHP Security Release” (2026-10-20)
- 뉴스1, “전 세계 웹사이트 보안 비상…PHP서 치명적 취약점 2건 발견” (2026-10-21)
- The Hacker News, “PHP2Shell: Two Unpatched Critical PHP RCE Flaws Trigger Emergency Security Alert” (2026-10-21)
- Patchstack, “Major security alert: PHP vulnerable to critical RCE, attacks ongoing” (2026-10-21)
- Help Net Security, “A critical PHP security release is coming today” (2026-10-21)
- SecureLayer7, “PHP RCE CVE-2026-109618 & 109619: What To Do Now” (2026-10-20)