오늘의 PHP 보안 릴리스와 PHP 보안 강화 방안

PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35가 특정 조건에서 인증 없이 서버 코드를 실행할 수 있는 치명적 취약점 2건을 수정함. PHP 사용자는 즉시 업데이트해야 함 취약점은 거의 모든 요청이 거치는 메모리 관리와 오류 처리에 존재하며, 메모리 부족 시 불완전한 내부 데이터를 사용하거나 이전 요청에서 해제한 메모리를 다시 참조하면서 발생함 메모리 부족 취약점의 초기 징후는 2024년에 발견됐지만, 호환성 절충과 합의 중심 의사결정, 인력 부족으로 수정이 지연됨. 2026년 8월 실제 원격 코드 실행 경로가 확인된 뒤 보안 인력의 최우선 과제가 됨 공개 전 CVE 정보 유출로 릴리스가 하루 앞당겨졌으며, 이후 개념 증명 영상의 잘못된 게시와 Chainguard의 수정 이미지 조기 배포로 공개 조율에 차질이 이어짐 PHP Foundation은 보안 전담 인력과 검증 도구를 늘리고 의사결정 절차를 개선하고 있음. AI 지원 연구로 신고가 급증하는 가운데, 복잡한 수정과 호환성 판단을 담당할 숙련 엔지니어와 지속적인 재원이 필요함 긴급 업데이트와 두 가지 원격 코드 실행 취약점 PHP 프로젝트는 2026년 10월 21일, PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 공개함 두 취약점은 특정 조건에서 인증되지 않은 공격자의 원격 코드 실행을 허용하므로 즉시 업데이트가 필요함 공격 경로, 기술 세부사항, 시스템별 업데이트 방법은 php.net 공지에서 확인할 수 있음 CVE-2026-109618, GHSA-w8hw-w9fx-j79w는 메모리 부족(OOM)에 따른 메모리 손상 취약점임 요청이 특정 시점에 memory_limit에 도달하면 일부만 초기화된 내부 데이터가 남고, 이후 이를 유효한 데이터로 처리하면서 메모리가 손상될 수 있음 Apache의 mod_php에서는 애플리케이션 코드 실행 전 인증 없는 요청만으로 발생할 수 있으며, 기본 설정에서 완전한 원격 코드 실행이 입증됨 PHP-FPM에서도 애플리케이션 수준의 코드 경로를 통한 원격 코드 실행이 확인됨 CVE-2026-109619, GHSA-6wmf-4rv5-p3rp는 이전 요청의 내부 상태가 남아 발생하는 취약점임 특정 지점에서 치명적 오류가 발생하면 내부 상태가 이전 요청의 메모리를 계속 가리킬 수 있고, 같은 워커가 처리하는 후속 요청이 이미 해제된 메모리를 사용할 수 있음 해제 후 사용(use-after-free) 과...