PHP, CVSS 9.2 치명적 취약점 두 건 긴급 패치 예고
Upcoming Critical PHP Security Release
PHP 개발팀이 CVSS v4.0 기준 9.2점(Critical)으로 평가된 두 건의 치명적 취약점을 해결하는 보안 릴리스를 2026년 10월 21일 14:00 UTC에 배포한다고 공지했다. 모든 PHP 사용자는 즉시 업데이트 준비를 갖출 것을 권고받았다. 취약점 상세가 공개되거나 실제 악용 정황이 확인되면 예정보다 앞당겨 릴리스할 수 있다는 방침도 밝혔다.
취약점 중 하나라도 세부 내용이 공개되거나 실제 공격에 악용되는 정황이 확인되면 예정보다 일찍 릴리스할 권리를 보유합니다.
HN 토론
233- bwoebi
패치가 아직 안 나온 이유가 궁금한 모든 분들께:
릴리스를 담당하는 사람은 몇 명 안 됩니다. 그분들은 아직 자고 있습니다.
솔직히 저도 놀랐습니다. 유출된 영상(애초에 그 특정 시점에 공지가 나온 이유이기도 하죠) 이후 익스플로잇이 그렇게 빨리 공개되다니. LLM이 있어도 시간이 좀 더 걸릴 거라고 생각했거든요...
- redox99
익스플로잇은 이미 나왔습니다. 그래, 이건 역대 최악의 취약점으로 역사에 남을 것 같네요. 그리고 이제 LLM 덕분에 몇 시간 안에 수만 개의 에이전트가 세상 모든 php 웹사이트를 해킹하는 걸 보게 될 겁니다.
- dawnerd
개인 사이트에서 시도해봤는데 데이터베이스 전체를 덤프할 수 있었습니다. 즉시 제 사이트 전부를 내렸습니다. 이건 심각합니다.
- throwaway800BC
관련 C 코드를 잠깐 훑어봤는데, 문제가 되는 줄이라고 생각되는 부분이 처음부터 좀 수상해 보이더군요.
Fil-C가 이걸 잡았어야 하는 거 아닌가요? 릴리스가 Fil-C로 빌드되면 PHP 생태계 전체에 도움이 될지 궁금하네요.
- throwaway82931
저는 WPEngine에 호스팅된 사이트 몇 개를 관리하는 걸 돕고 있는데, 그것들을 내리는 건 쉽게 내릴 결정이 아닙니다. 환경에 최신 버전(WordPress 버전, PHP 버전, 모든 플러그인과 테마 최신)이 갖춰졌는지 확인한 뒤 WPEngine 지원팀에 짧게 연락했습니다.
그쪽은 제가 어떤 주요 PHP 호스팅 서비스에 기대하는 대로 잘 대응하고 있습니다. php2shell에 대비해 제가 할 수 있는 게 있는지 물었더니(없는 것 같았습니다), 그냥 패치를 적용할 때 제가 제일 먼저 줄을 서게 해달라고 간청하고 넘어갔습니다.
비슷한 상황인 다른 분들은 어떻게 대처하고 계신가요?
- vincent_s
지금 할 수 있는 두 가지:
1. session upload progress 끄기
2. 웹 서버에서 multipart 요청 차단하기
자세한 정보:
https://www.vincentschmalbach.com/cve-2026-109618-and-cve-20...
- joshuat
이 익스플로잇이 Twitter에서 공유되고 있다는 소문이 사실이라면 이건 악몽이 될 겁니다. 저렴하고 관리 안 되는 LAMP 설치가 그런 서버들에서 엄청나게 돌아가고 있으니, VPS 호스팅 업체들이 어떻게든 완화에 나설 것 같아 놀랍지도 않네요.
- Gigachad
데모 영상이 오늘 Twitter에서 돌고 있고, PoC도 비공개로 공유되고 있는 모양입니다. 영상에는 URL에 뭔가를 붙여넣더니 서버에서 셸을 얻는 장면이 나옵니다. 완전히 재앙 수준으로 보입니다.
최선의 방법은 패치가 나오기 전에 그냥 서버를 내리고, 패치한 뒤에 다시 올리는 것이라고 생각합니다.