PHP 재단이 원격 코드 실행 우려 취약점 패치를 예고했다

PHP 재단이 2026년 10월 21일 14시(UTC)에 패치를 예고했습니다. 원격 코드 실행으로 이어질 수 있는 심각한 취약점 두 건입니다. 저는 공개 일정이 정해졌다는 사실보다, 점수 외에 기술 정보가 아직 없다는 점이 더 오래 남습니다. 대응 시계는 돌기 시작했는데 위험을 가늠할 재료는 거의 없습니다.

PHP 보안팀이 10월 21일 두 취약점의 수정판을 배포한다고 예고한 소식과 맞닿아 있습니다. 이번 공지는 PHP 5 이상이 영향을 받을 수 있다는 CERT-EU의 경고와, 점수 외 기술 정보가 아직 공개되지 않았다는 상황을 더합니다.

그래도 일정을 미리 알린 것은 준비할 시간을 줍니다. 공지가 나온 뒤에야 서비스 목록을 찾는 경우와 달리, 조직은 지금 PHP를 쓰는 자산을 추리고 업데이트 적용 절차를 마련할 수 있습니다.

CERT-EU는 PHP 5 이상이 영향을 받을 수 있고, 인증 없이 원격 코드 실행으로 이어질 가능성이 있다고 경고합니다. 두 취약점의 CVSS 점수는 각각 9.2지만, 공개된 기술 정보는 현재 점수뿐이라 실제 영향 범위는 아직 확인되지 않았습니다. 버전만 적어둔 목록으로는 우선순위를 정하기 어렵고, 인터넷에 공개된 서비스인지를 함께 알아야 대응 순서가 달라집니다.

PHP 서비스를 맡고 있다면 오늘 자산 목록에 PHP 버전과 인터넷 공개 여부를 함께 적어 두십시오. 업데이트가 공개되면 해당 자산에 신속히 적용하고, 바로 패치하기 어려운 공개 서비스는 공용 네트워크에서 격리할 방안을 점검하십시오.

취약점 공지가 뜨면 운영 중인 PHP 서비스에서 버전과 인터넷 공개 여부 중 무엇을 먼저 확인하십니까?