핵심 정보
10월 21일, PHP 개발팀은 두 가지 치명적인 취약점인 CVE-2026-109618과 CVE-2026-109619를 해결하기 위한 긴급 보안 업데이트를 발표했습니다. 두 결함 모두 CVSS v4.0 심각도 점수 9.2를 기록했으며, 영향을 받는 서버에서 인증되지 않은 원격 코드 실행이 가능할 수 있습니다. 이 문제는 메모리 손상 및 메모리 해제 후 잔류 내부 상태와 관련이 있습니다.
이 취약점으로 인해 유럽, 일본, 미국의 정부 및 민간 기관들이 웹사이트를 오프라인으로 전환하는 등 광범위한 예방 조치가 취해졌습니다. 일본에서는 세가(SEGA), 캡콤(CAPCOM), 반다이 남코, 사이게임즈(Cygames) 등 주요 게임사들이 긴급 점검에 착수했습니다. 그 외 니코니코, 4chan 및 다양한 커뮤니티 사이트들도 영향을 받았습니다.
보안 업체 Sansec은 패치 발표 후 15분 이내에 대규모 공격이 발생할 수 있다고 경고했습니다. 클라우드플레어(Cloudflare)의 CTO 데인 크네히트(Dane Knecht)는 초기 악성 활동을 관찰했다고 확인하며, 방화벽 조정이 일시적인 보호를 제공할 수는 있지만 공식 PHP 업데이트 설치의 필요성을 대체할 수는 없다고 언급했습니다.
PHP는 이러한 위험을 완화하기 위해 버전 8.5.12, 8.4.27, 8.3.36 및 8.2.35를 출시했습니다. 전문가들은 PHP가 워드프레스를 포함하여 서버 측 언어를 사용하는 웹사이트의 약 75%를 구동하고 있기 때문에 잠재적 영향이 매우 크다고 강조합니다. 관리자들은 즉시 업데이트할 것을 권장받고 있으며, 공유 호스팅 사용자는 서비스 제공업체가 필요한 환경 패치를 적용할 때까지 기다려야 할 수도 있습니다.
