팰러앨토, PHP 치명적 취약점 2건 대응 촉구
CVSS 4.0 기준 9.2점의 원격 코드 실행 취약점으로, PHP는 8.2.35 등 수정 버전을 공개했다.
팰러앨토 네트웍스가 전 세계 기업에 PHP의 치명적 취약점 2건, CVE-2026-109618과 CVE-2026-109619에 대한 점검과 대응을 촉구했다. 두 취약점은 2026년 10월 22일 공개됐다.
두 취약점은 모두 CVSS 4.0 심각도 척도에서 9.2점을 기록했으며 원격 코드 실행이 가능한 것으로 평가됐다. CVE-2026-109618은 메모리 부족 상황에서 요청 처리 상태가 비정상으로 남는 문제이고, CVE-2026-109619는 메모리 해제 후 사용 취약점이다.
팰러앨토 네트웍스의 위협 연구 조직인 유닛42는 인터넷에 노출된 PHP 인스턴스 2260만 개 이상이 잠재적 영향 범위에 들어간다고 추정했다. 다만 이들 모두가 악용 가능하거나 이미 침해됐다는 의미는 아니라고 밝혔다.
회사 측은 가상 패치 기능인 프론티어 가상 패치가 공식 공개 이전부터 보호를 제공했으며, 차세대 방화벽과 프리즈마 액세스로 관련 공격을 차단할 수 있다고 설명했다. 데일리시큐가 이번 권고를 보도했다.
PHP는 수정 버전 8.2.35, 8.3.36, 8.4.27, 8.5.12를 공개했다. 지원이 종료된 PHP 8.1 이하 버전을 사용하는 기업에는 상위 버전으로의 이전이 권고된다.
권고된 5가지 조치
팰러앨토 네트웍스는 오픈소스 노출 범위 파악, 위험 우선순위 지정, AI 도입 환경 보안, 가상 패치 적용, AI 기반 실시간 보안 운영 등 5가지 대응 방안을 제시했다.
한눈에 보기
PHP 취약점 CVE-2026-109618과 CVE-2026-109619의 심각도는?
두 취약점 모두 CVSS 4.0 기준 9.2점으로 평가됐으며 원격 코드 실행이 가능하다.
수정된 PHP 버전은 무엇인가?
PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12가 공개됐다. PHP 8.1 이하 지원 종료 버전 사용자는 상위 버전으로 이전해야 한다.
영향 범위는 얼마나 되나?
유닛42는 인터넷에 노출된 PHP 인스턴스 2260만 개 이상이 잠재적 영향 범위에 있다고 추정했다. 모두가 악용 가능하거나 침해됐다는 의미는 아니다.