PHP 긴급 보안 수정, 워드프레스 업데이트만으로는 충분하지 않다

PHP 프로젝트가 10월 21일 서버에서 로그인 없이 코드 실행을 허용할 수 있는 두 취약점을 긴급 수정했다.

영향은 서버 설정과 실행 경로에 따라 달라지며, PHP를 쓰는 모든 사이트가 침해됐다는 뜻은 아니다.

웹사이트 밑에서 돌아가는 프로그램의 문제다

워드프레스 같은 서비스는 PHP라는 실행환경 위에서 동작한다. 이번 PHP2Shell은 PHP가 메모리를 쓰고 오류를 처리하는 방식의 문제다. 요청 처리 중 오류가 나면 준비가 덜 됐거나 이미 해제된 메모리를 잘못 사용할 수 있다. 따라서 테마·플러그인·워드프레스만 갱신해도 PHP 자체가 함께 고쳐지는 것은 아니다.

어느 버전부터 고쳐졌나

각 지원 계열의 첫 수정 버전은 8.2.35, 8.3.36, 8.4.27, 8.5.12다. 두 식별번호는 CVE-2026-109618과 CVE-2026-109619다. 배포판이 이전 버전 번호를 유지하면서 보안 수정만 반영할 수도 있으므로 숫자만 보고 결론을 내리면 안 된다. 호스팅 업체에 실제 웹 요청을 처리하는 PHP의 보안 공지와 두 CVE 수정 여부를 확인하는 것이 핵심이다.

방화벽이 있어도 패치는 필요하다

Cloudflare는 자체 고객 트래픽에서 공격 시도를 관측했고 완화 규칙을 배포했다고 밝혔다. 다만 공격 트래픽 관측은 모든 시도가 성공했다는 증거가 아니다. 이 회사는 공개 조정에 참여한 업체이므로 연구와 완전히 무관한 기관도 아니다. 자체 관측은 별도 확인 근거로 쓰되, 방화벽이 PHP 수정 자체를 대신한다고 해석하지 않는다.

관리자에게 확인할 항목은 무엇인가

직접 운영한다면 호환성을 확인하고 백업한 뒤 수정 패키지를 적용하며, 해당 웹서버·PHP-FPM·장기 실행 작업을 다시 시작해야 한다. 명령줄 PHP와 웹서버 PHP가 다를 수도 있다. 일반 이용자는 사이트 접속만으로 서버의 수정 여부를 판단할 수 없다. 이후 확인할 자료는 PHP 공식 보안 공지와 호스팅의 패키지 변경 기록이며, 이 글은 개별 사이트 침해 여부를 검사한 결과가 아니다.

원자료와 독립 확인

원자료: 수정 버전·조건부 영향·두 CVE와 공개 경위를 설명하는 PHP 재단 발표: PHP Foundation · 2026-10-21

별도 확인: 자체 고객 트래픽의 공격 관측과 완화. 공개 조정 참여 업체이며 연구와 무관한 기관은 아님: Cloudflare · 2026-10-21

원연구 안내: 계열별 첫 수정·실제 실행환경 갱신과 재시작. 공격 재현 절차는 본문에 싣지 않음: PHP2Shell · research advisory

다른 언어로 읽기

한국어 · English · Español · 日本語 · Tiếng Việt