로그인 없이 서버를 장악할 수 있는 PHP 핵심 취약점 2건

10월 21일취약점

쉽게 말하면 웹사이트를 만드는 PHP에 로그인 없이 서버를 빼앗을 수 있는 결함이 발견됐고, 이미 실제 공격에 쓰이고 있습니다.

PHP 실행 엔진 자체의 결함이라 웹사이트 코드에 문제가 없어도 영향을 받습니다. 10월 21일 패치가 나왔고, 5일 만에 미국 CISA가 실제 공격에 쓰이고 있음을 공식 확인했습니다.

위험도 심각도 9.2 / 10 · 실제 악용 확인현황 패치 배포 중 · 미국 CISA가 악용 확인 · 정부 경보 ‘주의’

국내 피해 규모와 피해 기관은 공개되지 않았습니다. 서버 25대 장악 건과 공격자 추정(중국 연계, AI 활용)은 보안업체 한 곳의 분석을 인용한 보도이며 확정이 아닙니다. 시놀로지 NAS 랜섬웨어 의심 사례도 원인이 확인되지 않았습니다.

CVE-2026-109618: 메모리가 부족해 PHP 실행이 중단될 때, 덜 받은 요청 데이터가 정상 정보로 처리되는 결함
CVE-2026-109619: 이미 해제된 내부 요청 정보가 다음 요청에서 다시 쓰이는 결함
심각도: 두 건 모두 CVSS 4.0 기준 9.2. 인증 없이 외부에서 원격 코드 실행 가능(PHP 관리팀 ‘치명적’ 분류)
영향 환경: PHP-FPM, php-cgi, FrankenPHP, LiteSpeed, Apache mod_php. 이 중 Apache에 PHP를 직접 연결하는 mod_php 방식의 위험이 가장 큰 것으로 알려짐
패치 버전: 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35
지원 종료 버전: PHP 8.1 이하는 정식 지원이 끝났고, 7.4·8.0·8.1용 최소 소스 패치가 별도로 공개됨. 리눅스 배포판이나 LTS 업체 이용 시 해당 업체 업데이트 확인 필요
국내 피해: 국내 피해 규모와 피해 기관은 공개되지 않음

2026.10.21PHP 개발·관리팀이 보안 권고와 패치 공개. 같은 날 미국 CISA 첫 경보(당시 악용 미확인)
2026.10.22KISA 대응 가이드 공개. 과기정통부가 사이버위기 경보를 ‘주의’로 상향공식 조치
2026.10.25이스라엘 보안업체 드림이 공격을 포착했다고 발표(29일 보도). 한국·미국·일본·대만 서버 25대 장악 정황
2026.10.26CISA가 두 취약점을 ‘실제 악용 확인 취약점(KEV)’ 목록에 등재공식 조치
2026.10.27한국정보보호산업협회 발표: 국내 보안기업들이 무료 점검 도구와 가이드 제공
2026.10.29미국 연방 민간기관의 긴급 조치 시한공식 조치
2026.10.30시놀로지가 PHP 기반 앱 10종에 영향이 있다며 NAS 보안 업데이트 배포. 일부 사용자가 ‘.LOCK3D’ 확장자 랜섬웨어로 의심되는 피해를 커뮤니티에 제보(PHP2Shell과의 관련은 미확인)

PHP 실행 엔진의 메모리 처리 결함 2건. 웹 애플리케이션 코드가 실행되기도 전에 공격이 성립합니다.
공개된 시험 공격 도구(PoC)가 실제 공격에 쓰였고 일부는 AI로 작성됐다는 보안업계 발언이 있습니다.
임시 설정 변경(memory_limit 조정, session.upload_progress 끄기 등)은 일부 경로만 막으며 PHP 관리팀도 패치가 필수라고 밝혔습니다.
드림의 분석에 따르면 이 취약점에 리눅스 커널 권한 상승 취약점(Fragnesia)을 결합했고, 관리 화면이 외부에 열려 있던 방화벽 장비를 맞춤형 공격 도구로 노렸습니다.

KISA 대응 가이드(10월 22일)와 과기정통부 경보 상향, 약 2만 8천 곳에 경보 전파
유럽연합, 독일, 일본, 호주, 영국, 네덜란드 등이 경보를 내고 즉시 패치를 촉구했고, 일부 정부기관과 기업은 패치 전에 웹사이트를 일시 중단
정부는 패치 후에도 이상 접속 기록과 웹셸(몰래 심은 뒷문) 흔적을 점검하고, 의심되면 KISA에 신고할 것을 요청
정부는 출처가 불분명한 시험 공격 코드를 내려받아 실행하지 말라고 당부(악성코드가 섞인 파일이 많다는 이유)

‘오늘도 무사히’는 민간 기업 Sprout Security가 운영하는 정보 제공 사이트이며 정부 기관이 아닙니다.