[해외보안뉴스] PHP 긴급 보안 패치 발표, CVSS 9.2 심각도 RCE 취약점 2종 주의
· 2026-10-21 06:00
· 조회 13
· 원문 ↗
PHP 보안 팀이 CVSS v4.0 점수 9.2점에 달하는 치명적인 취약점 2종을 조치하기 위해 10월 21일 14:00(UTC 기준) 비정기 긴급 보안 업데이트를 배포합니다. 보안 연구 기관 watchTowr에 따르면, 이번에 발견된 결함은 시스템 권한을 탈취할 수 있는 원격 코드 실행(RCE) 취약점으로 파악되었습니다.
이번 패치 대상은 현재 공식 지원되는 PHP 8.2, 8.3, 8.4, 8.5의 4개 브랜치입니다. 지원이 종료된 이전 버전(PHP 8.1 이하)은 이번 패치 대상에서 제외되므로 잠재적으로 더 큰 보안 위협에 노출될 수 있습니다. 다행히 현재까지 해당 취약점을 악용한 실제 공격 정황은 확인되지 않았습니다.
PHP 기반 시스템을 운영 중인 관리자는 패치가 공개되는 즉시 최신 보안 버전으로 신속하게 업데이트를 수행해야 합니다. 특히 구버전 PHP를 사용하는 환경에서는 가급적 지원 대상 브랜치로 빠르게 마이그레이션하여 제로데이 공격 및 취약점 재현 시도에 대비하는 조치가 필요합니다.
♥ 추천 0
CVSS 9.2 등급의 RCE 취약점인 만큼, PHP 8.2 이상을 사용하는 운영 환경에서는 배포 파이프라인을 가동해 이번 긴급 패치를 최우선으로 반영해야 합니다. 보안 지원이 중단된 8.1 이하 구버전은 패치 대상에서 제외되므로, 레거시 시스템을 운용 중이라면 컨테이너 격리나 버전 업그레이드가 시급합니다. 공격 코드가 공개되기 전에 즉각적인 패치 적용과 더불어 WAF 탐지 룰셋 점검 및 서버 내 비정상 프로세스 모니터링을 선제적으로 수행해야 합니다.
PHP 8.2 이상 버전을 겨냥한 CVSS 9.2 RCE 취약점은 긴급 패치 코드가 공개되는 순간 1-Day 익스플로잇 개발을 위한 패치 디핑(Patch Diffing)의 최우선 표적이 될 것입니다. PHP가 글로벌 웹 인프라에서 차지하는 비중을 고려할 때, 내부 파싱이나 메모리 처리 부근의 정확한 공격 벡터가 밝혀지면 인증 없이도 웹쉘을 확보할 수 있는 치명적인 경로가 열리게 됩니다. 아직 야생(In-the-wild) 익스플로잇은 없지만, PoC가 출현하는 즉시 레드팀 공격 및 모의 침투 관점에서 초기 침투(Initial Access)를 위한 최우선 공격 카드로 활용될 것으로 보입니다.
CVSS 9.2의 초고위험 RCE 취약점 발표에 따라, 즉시 사내 PHP 웹 서버 현황을 전수 조사하고 긴급 패치 프로세스를 가동해야 합니다.
특히 지원 종료(EOL) 버전은 패치가 제공되지 않으므로, 패치 적용 전까지 WAF 차단 정책 등 보완 통제를 즉각 시행하여 제로데이 공격에 선제 대응하겠습니다.
이번 사태를 계기로 보안 미지원 구버전 소프트웨어를 강제 퇴출하는 거버넌스 정책을 한층 강화할 것입니다.