[해외보안뉴스] PHP, Brotli 라이브러리 원격 코드 실행 취약점 해결 위해 Windows 패키지 긴급 재배포
· 2026-10-26 18:00
· 조회 5
· 원문 ↗
PHP 개발팀이 Windows용 공식 PHP 패키지(8.2부터 8.5 버전까지)를 재구축하여 닷새 만에 두 번째 보안 업데이트를 출시했습니다. 이번 업데이트는 공식 패키지에 번들로 포함된 Brotli 압축 라이브러리의 취약점인 CVE-2026-111497을 해결하기 위한 조치입니다. 해당 결함은 공격자가 메모리를 손상시키고 잠재적으로 임의 코드를 실행할 수 있게 합니다.
영향을 받는 대상은 Windows 환경에서 실행되는 PHP 8.2, 8.3, 8.4 및 8.5 버전입니다. 분석에 따르면 이 취약점은 cURL 확장 모듈이 HTTP 응답을 자동으로 압축 해제하도록 설정되어 있을 때 악용될 수 있습니다. 기본적으로 cURL은 자동 압축 해제 기능이 비활성화되어 있으나, 이를 활성화해 사용하는 애플리케이션의 경우 외부 악성 응답에 의해 시스템이 침해될 위험이 있습니다.
Windows 환경에서 PHP를 운용하는 시스템 관리자와 개발자는 공식 사이트에서 제공하는 최신 패키지로 즉시 업데이트해야 합니다. 업데이트 적용이 불가능한 경우, cURL 설정에서 HTTP 응답의 자동 압축 해제 옵션을 비활성화하거나 신뢰할 수 없는 외부 서버와의 연결 시 수신 데이터를 검증하는 보안 조치를 강구해야 합니다.
♥ 추천 0
번들된 서드파티 라이브러리(Brotli)의 메모리 오염 문제로, 애플리케이션 코드 수준이 아닌 런타임 의존성 레이어에서 발생한 전형적인 공급망 보안 위험입니다. cURL의 자동 압축 해제 옵션(
CURLOPT_ACCEPT_ENCODING)을 활성화하여 외부 API를 호출 중인 Windows PHP 환경이라면 즉시 최신 패치 버전을 적용해야 합니다. 외부 응답을 수신하고 디코딩하는 접점은 언제든 RCE 공격 표면이 될 수 있으므로, 불필요한 자동 디코딩 설정을 끄고 런타임 패치 자동화 체계를 점검할 필요가 있습니다.cURL의 자동 압축 해제(
CURLOPT_ENCODING) 옵션은 API 연동이나 웹 크롤러 구현 시 흔히 활성화되므로, 악의적인 HTTP 응답을 유도하는 SSRF나 웹훅 기능이 핵심 공격 벡터가 될 것입니다.비록 기본값은 꺼져 있지만, 조건만 맞으면 윈도우 PHP 프로세스 권한으로 메모리 오염 및 RCE까지 직결될 수 있어 공격자 입장에선 악용 가치가 매우 높습니다.
특히 5일 만에 잇따라 나온 패치 특성상 관리자들의 피로도로 인한 패치 지연이 발생하기 쉬워, 지금이 초기 침투(Initial Access)를 노리기 가장 좋은 시점입니다.
서드파티 라이브러리 결함이 오픈소스 생태계를 통해 연쇄 파급된 전형적인 소프트웨어 공급망(Supply Chain) 리스크 사례입니다. 단기간 내 재패치가 발행된 긴급 사안인 만큼, 인프라팀은 사내 Windows 기반 PHP 시스템을 신속히 식별하여 최신 버전으로 업데이트해야 합니다. 아울러 '기본 비활성화' 설정만 믿지 말고, 개발 코드 내 cURL 자동 압축 해제 옵션 오남용 여부를 보안 거버넌스 차원에서 전수 점검하겠습니다.