PHP 개발팀이 두 개의 치명적인 원격 코드 실행 취약점에 대한 수정 사항을 2026년 10월 21일 오후 2시 UTC에 공식적으로 배포할 예정이다. 해당 취약점은 각각 CVE-2026-109618과 CVE-2026-109619로 식별되며, 보안 평가 점수는 CVSS v4.0 기준 9.2점으로 매우 높은 위험 등급을 받는다.
이번 보안 릴리스는 PHP 5.4.0 이상의 모든 버전에서 발생한다. Magento, Shopware, WooCommerce 등 주요 전자상거래 플랫폼을 포함해 광범위한 웹 서버 환경이 대상이다. Sansec Forensics Team은 패치 공개 후 15분 이내에 대규모 공격이 발생할 것으로 예상했다.
실제로 이미 초기 공격 징후가 포착되었다. Cloudflare는 같은 날 오전 7시 43분 UTC를 기준으로 PHP 사이트를 대상으로 한 선제적 공격이 발생했다고 보고했다. 이들은 새로운 공격 벡터가 등장함에 따라 완화 조치를 지속적으로 업데이트하고 있다고 밝혔다.
취약점 정보가 사전에 유출되면서 상황이 더욱 긴박해졌다. 10월 20일 관련 내용이 외부로 흘러나왔고, watchTowr 보안 업체는 이를 원격 코드 실행 취약점으로 확인했다. 익스플로잇 도구인 PHP2Shell의 스크린샷도 함께 유포되어 악용 가능성을 높였다.
사용자가 주의해야 할 점은 인프라 수준의 대응이 필수라는 것이다. 스토어 내부 코드베이스만으로는 문제를 해결할 수 없다. 반드시 서버의 PHP 자체를 업데이트해야 한다.
특히 RHEL 계열 서버에서 Remi 저장소를 사용하는 경우 오늘 중으로 업데이트가 제공되지 않는다.
Remi 저장소는 자원봉사자 운영 체제로 인해 이번 긴급 패치를 즉시 반영하지 못한다. 따라서 사용자는 배포판 기본 PHP 패키지로 전환하거나 소스 코드로 직접 빌드하는 방식을 고려해야 한다. 패치가 공개되는 즉시 설치할 수 있도록 준비 태세를 갖춰야 한다.
Hacker News 커뮤니티에서는 패치 조기 공개를 요구하는 목소리도 있었지만, 이는 오히려 악성 코드 제작을 용이하게 할 수 있다는 우려도 제기됐다. 현재로서는 정해진 시간까지 기다리는 것이 유일한 선택지다.
공식 기술 세부 사항과 고정된 버전 정보는 10월 21일 오후 2시 UTC에 PHP 뉴스 웹사이트를 통해 공개될 예정이다. 만약 공격이 심화되거나 정보가 더 많이 유출될 경우 PHP 재단은 예고 없이 패치를 앞당길 권한을 보유하고 있다.