PHP, 인증 없이 원격 코드 실행 가능한 치명적 취약점 두 건 긴급 패치
PHP Foundation's Overview of CVE-2026-109618 and CVE-2026-109619
PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35가 메모리 관리와 오류 처리에서 발견된 두 치명적 취약점을 수정했다. 메모리 한도 도달 시점의 데이터 손상과 이전 요청의 해제된 메모리 재사용이 원인으로, Apache mod_php 환경에서는 기본 설정만으로 인증 없는 원격 코드 실행이 확인됐다. PHP Foundation은 2024년 감사에서 단서를 잡았으나 여러 해결안의 트레이드오프와 인력 부족으로 수정이 수개월간 지연됐고, 이를 구조적 실패로 인정하며 보안 조직과 프로세스를 재편하고 있다.
우리는 이를 숨기지 않겠다. 이 지연은 보안 팀의 의사 결정 과정과 자원 부족 모두에서 비롯된 구조적 실패였다.