PHP 보안팀이 취약점 수정판을 10월 21일 배포할 예정이다

PHP 보안팀은 2026년 10월 21일 14시(UTC)에 보안 업데이트를 배포할 예정입니다. 수정 대상은 치명적 취약점 두 건이며, 공통 취약점 점수 체계(CVSS) v4.0에서 각각 9.2점입니다. 저는 두 건 모두 점수가 높다는 사실만큼이나, 수정판의 시각이 미리 정해져 있다는 점이 눈에 들어옵니다. 영향받는 버전과 수정된 버전은 배포 때 공개되므로, 지금은 자기 서버가 대상인지 판단할 수 없습니다.

PHP 보안팀의 일정 예고는 curl 프로젝트가 취약점 수정판 출시를 미리 알린 사례와 맞닿습니다. curl은 심각도 높은 취약점 한 건과 낮은 등급 21건을 고치는 버전을 예고했고, PHP는 취약점 두 건의 점수와 배포 시각을 공개했습니다. 두 사례 모두 패치 공개 전에 대응을 준비할 여지를 주지만, PHP의 영향 버전은 업데이트 때까지 확인할 수 없습니다.

배포 시각을 미리 알면 운영자는 점검 일정과 담당자를 준비할 수 있습니다. 막연히 수정판을 기다리는 대신, 구체적인 시간을 기준으로 대응 절차를 맞출 수 있다는 점은 반갑습니다.

CVSS v4.0 점수만으로는 영향받는 PHP 버전을 알 수 없습니다. 취약점 정보가 공개되거나 실제 악용 증거가 나타나면 배포가 앞당겨질 수도 있습니다. 정해진 날짜만 기다리면 예상보다 빠른 배포를 놓칠 수 있고, 영향 버전이 아직 공개되지 않아 지금은 설치 환경을 먼저 파악해야 합니다.

운영 중인 서비스별 PHP 버전과 담당자를 목록으로 정리하고, 보안팀 공지를 확인할 사람도 정해 두십시오. 10월 21일 14시(UTC) 전이라도 공지가 나오는지 확인하십시오. 공개된 영향 버전에 목록 속 버전이 포함되면 테스트 환경에서 수정판을 검증한 뒤 운영에 반영하십시오.

마지막으로 보안 업데이트를 맞았을 때, 영향받는 서버와 담당자를 어떻게 찾아내셨습니까?