PHP, 10월 21일 보안 업데이트 예정…치명도 9.2 취약점 2건 수정
PHP 보안팀은 CVSS v4.0 기준 9.2점 취약점 2건을 고치기 위해 10월 21일 14:00 UTC에 업데이트를 배포한다고 밝혔다.
PHP 개발팀이 오는 10월 21일 14:00 UTC에 취약점 2건을 수정하는 보안 업데이트를 배포한다고 밝혔다. PHP 보안팀은 두 취약점 모두 CVSS v4.0 기준 9.2점으로 평가했다고 전했다.
보안팀은 ANNOUNCE 메일링 리스트를 통해 업데이트가 공개되는 즉시 관리자가 설치할 것을 권고했다. 또 세부 내용이 공개되거나 실제 악용 정황이 확인될 경우 업데이트를 앞당겨 배포할 권한이 있다고 설명했다.
영향을 받는 PHP 버전과 수정이 포함되는 릴리스는 아직 공개되지 않았다. PHP 보안팀은 업데이트가 나오면 전체 기술 정보와 영향 버전, 수정 버전을 함께 공개하겠다고 밝혔다.
유출된 제로데이 정보
보안 연구 기업 watchTowr는 BleepingComputer에 해당 결함이 CVE-2026-109618과 CVE-2026-109619로 추적되고 있으며 PHP 5, 6, 7, 8 버전에 영향을 미치는 것으로 보인다고 전했다. watchTowr의 CEO Benjamin Harris는 원격 코드 실행(RCE) 취약점 2건의 정보가 한 시간 전에 유출됐으며, 당초 공개 일정은 목요일 오전 11시(ET)였다고 말했다.
watchTowr는 CVE-2026-109618의 재현에 성공한 것으로 보고 있지만 패치가 나오기 전까지 기술 정보를 공개하지 않을 계획이다. 실제 악용 사례는 아직 확인되지 않았다고 밝혔다. 앞서 watchTowr는 X 게시물에서 PHP의 엠바고 대상 제로데이 RCE 취약점 정보가 유출됐다고 전했다.
Hacker News 이용자 petecooper는 두 결함이 10월 22일 공개되며 CVSS 점수가 10.0이라는 글을 올렸으나, 해당 게시물은 현재 삭제된 상태다.
한눈에 보기
PHP 보안 업데이트는 언제 배포되나?
PHP 개발팀은 10월 21일 14:00 UTC에 취약점 2건을 수정하는 업데이트를 배포할 예정이며, 세부 내용이 공개되거나 실제 악용 정황이 나오면 더 앞당길 수 있다고 밝혔다.
영향을 받는 PHP 버전은?
PHP 측은 아직 영향 버전을 공개하지 않았다. watchTowr는 PHP 5, 6, 7, 8 버전이 영향을 받는 것으로 보인다고 전했다.
취약점의 심각도는?
PHP 보안팀은 두 취약점을 CVSS v4.0 기준 9.2점으로 평가했다.