PHP, CVSS 9.2 취약점 2건 보안 업데이트 예고

PHP 보안팀이 CVSS v4.0 기준 9.2점인 치명적 취약점 2건을 수정하는 업데이트를 2026년 10월 21일 14:00 UTC에 배포한다고 예고했습니다. 영향을 받는 버전과 수정 버전은 배포 시 공개하며, 취약점 정보가 먼저 공개되거나 실제 악용 정황이 확인되면 일정을 앞당길 수 있습니다.

주제: 보안 PHP

에디터 노트

이번 공지에서 확인되는 내용은 취약점 2건의 CVSS 점수와 배포 예정 시각, 공개 시점뿐입니다. 영향을 받는 버전과 공격 조건, 우회책은 아직 발표되지 않아 댓글의 세션 코드나 JIT 관련 언급은 모두 추측으로 남습니다. 댓글에는 서비스 종료를 택한 운영자와 업데이트를 서두르라는 권고가 있습니다. 다만 공지 자체는 즉시 서비스를 끄라고 지시하지 않습니다. 패치가 공개된 뒤 영향을 받는 버전과 실제 완화책을 확인해야 구체적인 대응을 정할 수 있습니다. 취약점 정보 공개나 실제 악용 정황이 생기면 일정이 앞당겨질 수 있다는 조건이 이번 사전 공지에서 가장 직접적인 운영상 정보입니다.

AI 요약

PHP 보안팀이 치명적 취약점 2건을 수정하는 보안 릴리스를 사전 공지했습니다. 배포 예정 시각은 2026년 10월 21일 14:00 UTC입니다. 두 취약점 모두 CVSS v4.0 점수는 9.2입니다.

배포 전 안내

PHP 보안팀은 모든 PHP 사용자에게 업데이트를 준비하고 릴리스가 나오면 즉시 업그레이드하라고 권고했습니다. 취약점 정보가 공개되거나 실제 공격에 쓰이는 정황이 나타나면 예정 시각보다 일찍 배포할 수 있다고 밝혔습니다. 영향을 받는 버전과 수정된 버전, 취약점 상세 정보는 릴리스와 함께 공개할 예정입니다.

Lobsters 반응

@pushcx — 민감한 정보를 다루는 PHP 사이트라면 내일 패치를 설치할 때까지 서비스를 끄는 편이 나을 것 같습니다. 지난달 다른 프로젝트에서 패치가 담긴 PR이 조용히 공개된 뒤 10분도 지나지 않아 공격 시도가 나타났습니다. 심각도가 높고 널리 쓰이는 PHP 취약점이라면 밤사이에 취약점이 재발견돼 공격에 쓰일 것으로 예상합니다.
@dzwdz — 작동 영상이라고 주장하는 자료가 있습니다. 간질이 있다면 편집 효과가 거슬릴 수 있어 보지 않는 편이 좋겠습니다. 춤추는 애니메이션 캐릭터는 마음에 듭니다. 영상에 나온 대상이 폭넓은 걸 보면 웹 앱에 특별한 조건이 필요하지 않을 수도 있겠습니다. 기대되네요.
- @tonyarkles — 음악도 정말 좋네요!
@legoktm — 인터넷에 공개된 비중요 PHP 앱은 예상하고 모두 종료했습니다. 내부 정보가 없는 상태에서 하는 순전히 추측입니다. JIT 취약점이 인기 프레임워크나 애플리케이션과 결합해 인증되지 않은 사용자가 악용할 수 있는 문제일 것 같습니다. 취약한 기능을 쉽게 끄는 php.ini 설정도 있을 것 같습니다. LLM이 발견했을 것이며 사람도 언젠가는 찾았겠지만 악용 방법까지 알아내지는 못했을 것 같습니다.
- @fourfourthree — 5.x까지 취약하다는 이야기가 있으니 JIT 문제는 아닌 것 같습니다.
- @legoktm — 맞습니다. 이 문제가 세션 코드에 있다는 게시물이 있는데 그럴듯합니다. 사람이 악용 방법을 찾아내지 못했을 것이라는 추측도 틀렸을 수 있겠습니다. 덧붙이면 ini 설정으로는 실제로 해결되지 않는다는 이야기가 있습니다.

원문: PHP / 번역·요약: Trawling

원문 보기 ↗토론 보기 ↗