PHP 보안팀이 치명적 취약점 CVE-2026-109618과 CVE-2026-109619을 발표할 예정인 가운데, 공개 익스플로잇을 막는 Imunify360 ModSecurity 규칙 세트 8.83이 배포되고 있다. 이는 알려진 요청 패턴을 차단하는 임시 완화책이며, 취약한 PHP 코드를 고치지는 않으므로 패치된 PHP가 나오면 업데이트해야 한다.

두 취약점은 CVSS v4.0 기준 각각 9.2점이며, PHP 보안팀은 2026년 10월 21일 14:00 UTC에 보안 릴리스를 내놓을 예정이라고 밝혔다. PHP의 멀티파트 요청 처리 과정에서 세션 업로드 진행 상황을 다루는 기능을 겨냥한 공개 익스플로잇이 이미 유통 중이다. PHP 팀의 기술 세부 내용은 릴리스와 함께 공개될 예정이다. Imunify의 WAF 규칙 변경 내역은 이 문제를 PHP 코어의 원격 코드 실행으로 분류한다.

Imunify360 8.83에는 공개된 익스플로잇 패턴을 차단하는 규칙과 공격 양상을 추적하기 위한 데이터를 수집하는 규칙이 추가됐다. Imunify360과 ModSecurity 기반 웹 애플리케이션 방화벽(WAF)이 활성화된 서버에는 규칙이 자동 배포된다. 다만 공개 익스플로잇과 다른 요청은 차단되지 않을 수 있다. Imunify 분석가들은 근본 문제가 알려진 공격 경로보다 넓을 수 있다고 보고 있다.

PHP 8.2~8.5 브랜치용 보안 릴리스가 예정돼 있다. 더 오래된 브랜치는 PHP 프로젝트의 수정판을 받지 못할 것으로 예상되므로 버전 업그레이드나 백포트 패키지를 계획해야 한다. CloudLinux는 수정 사항을 포함한 alt-php 패키지를 준비 중이며, 배포 일정은 업스트림 릴리스 이후 공개할 예정이다.

Imunify360 서버에서는 규칙 세트 버전이 8.83에 도달했는지 확인할 수 있다. cPanel과 Apache를 사용하는 경우 root 권한으로 다음 파일을 확인한다.

cat /etc/apache2/conf.d/modsec_vendor_configs/imunify360-full-apache/VERSION

다른 환경의 경로는 Imunify360 규칙 세트 버전 확인 안내에서 확인할 수 있다. 버전이 8.83보다 낮으면 규칙 세트를 업데이트한 뒤 다시 확인한다.

imunify360-agent update --force modsec-rules

Imunify WAF 규칙 변경 내역에서 8.83의 변경 사항을 볼 수 있다. WAF가 꺼져 있거나 ImunifyAV·ImunifyAV+만 사용하는 서버에는 이번 규칙의 보호가 적용되지 않는다. CloudLinux alt-php 사용자는 상태 페이지 공지를 확인하고 수정 패키지가 나오면 적용해야 한다.

PHP 보안팀의 취약점 발표