PHP 보안 릴리스 4종 공개, RCE 2건 수정

PHP 개발팀이 2026년 10월 21일 보안 릴리스 네 종을 한꺼번에 내놓았습니다. 대상 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35이고, 미인증 원격 코드 실행으로 이어질 수 있는 치명적 취약점 두 건(CVE-2026-109618, CVE-2026-109619)을 수정했습니다. 두 건 모두 CVSS v4.0 기준 9.2로 심각 등급입니다.

공식 발표가 정리한 두 취약점은 다음과 같습니다.

• CVE-2026-109618 - 메모리 부족(OOM) 처리 과정에서 요청 내부 데이터가 일부만 초기화된 상태로 중단되고, 이후 정리 단계가 그 잘못된 데이터를 정상으로 취급하면서 코드 실행이 가능해집니다.
• CVE-2026-109619 - 요청이 점유하던 내부 상태가 메모리 해제 뒤에도 남아 있다가, 같은 워커가 처리하는 다음 요청에서 초기화 전에 그 낡은 상태가 쓰이는 문제입니다.

영향 범위가 넓습니다. PHP-FPM, 아파치 mod_php, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 처리하는 설치 환경이 모두 대상입니다. 특히 mod_php 위험이 가장 크다고 보는데, 애플리케이션 코드가 실행되기도 전에 미인증 요청만으로 공격을 유발하는 실증 익스플로잇이 있다고 밝혔습니다.

PHP 측은 "완전한 완화책은 없으며 업데이트가 유일한 안전한 선택"이라고 못 박고, 모든 사용자에게 즉시 업그레이드를 강하게 권고했습니다. 설정 변경으로 막는 방법이 없는 유형이라, 운영 중인 PHP가 있다면 사용하는 라인에 맞춰 위 네 버전 중 하나로 바로 올리는 편이 안전해 보입니다.

🔗 https://www.php.net/archive/2026.php

🔗 https://discourse.thephp.foundation/t/announce-php-8-5-12-released/6288