웹 서비스 제작 언어인 PHP에서 치명적인 보안 취약점이 발표되어 긴급히 패치가 필요합니다. 공격 성공 시 시스템을 즉각 장악하거나, 저장된 정보를 탈취해갈 우려가 있기에 구성원들께서는 다음을 참고하여 피해를 미연에 예방할 수 있도록 적극 협조하여 주시기 바랍니다.
1. 대상
o PHP를 이용하여 구축된 홈페이지 등 웹 서비스(예시 : 워드프레스와 같은 홈페이지 제작 도구를 활용)
※ 장비나 기기의 관리를 웹 페이지 형태로 사용하는 경우도 포함
2. 취약점 개요 및 위협 내용
o 이번 취약점은 공식 심각도 CVSS 9.2(치명적 위험)로 평가된 고위험 보안 결함입니다.
o 원격의 공격자가 별도의 인증 없이 서버 권한을 탈취하거나 악성코드를 실행할 수 있는 원격 코드 실행(RCE) 취약점입니다.
■ CVE-2026-109618 (예외 처리 미흡)
내용: 비정상적인 입력값이나 예외 상황 발생 시 PHP 엔진이 오류를 안전하게 처리하지 못하는 결함입니다.
위협: 공격자가 예외 처리의 틈을 이용해 서버 내부 실행 흐름을 조작하고 임의의 악성 명령어를 실행할 수 있습니다.
■ CVE-2026-109619 (메모리 해제 후 재사용 / Use After Free)
내용: 시스템 메모리에서 이미 반환(Free)된 영역을 PHP 엔진이 완전히 초기화하지 않고 다시 참조(Use)하는 결함입니다.
위협: 해제된 메모리 영역에 악성 코드를 주입한 뒤 이를 실행시켜 서버 제어권을 원격에서 획득할 수 있습니다.
3. 점검 대상 및 버전별 조치 기준
[유지 관리 버전 - 최신 패치 적용 대상]
o PHP 8.2 : 8.2.35 미만 사용 시 -> 8.2.35 이상으로 업데이트
o PHP 8.3 : 8.3.36 미만 사용 시 -> 8.3.36 이상으로 업데이트
o PHP 8.4 : 8.4.27 미만 사용 시 -> 8.4.27 이상으로 업데이트
o PHP 8.5 : 8.5.12 미만 사용 시 -> 8.5.12 이상으로 업데이트
[지원 종료 버전 - 상위 버전 업그레이드 필수]
o PHP 8.1 이하 (PHP 5.x, 7.x 전 버전 포함) :
공식 기술 지원이 종료되어 이번 보안 패치가 제공되지 않으므로, 보안 지원 버전(8.2 이상)으로 즉시 업그레이드해야 합니다.
※ 교내 시스템 관리자 특별 유의사항 :
학과 및 연구실 홈페이지 중 과거 외주 제작 후 유지보수가 중단된 구버전 그누보드, 제로보드(XE) 등은 대부분 PHP 5.x 또는 7.x 환경에서 구동되고 있습니다.
지원 종료 버전은 외부 공격에 무방비로 노출되므로 상위 버전으로 마이그레이션하거나, 즉각 조치가 어려울 경우 교외 접근을 반드시 차단해야 합니다.
4. 운영 중인 PHP 버전 확인 방법
[방법 1] 서버 터미널(CLI) 명령어로 확인 (권장)
o 설치된 PHP 버전 확인: php -v
o OS 패키지 관리자로 설치된 상세 버전 확인:
Ubuntu / Debian 계열: dpkg -l | grep php
CentOS / RHEL / Rocky Linux 계열: rpm -qa | grep php
[방법 2] 웹 관리자 페이지(CMS)에서 확인
o 그누보드: 최고관리자 로그인 > [환경설정] > [기본환경설정] 또는 [시스템 정보]
o 워드프레스: 관리자 로그인 > [도구] > [사이트 건강] > [정보] 탭 > [서버] 항목
[방법 3] 웹 점검 스크립트로 확인
o 웹 루트 디렉터리에 임시 파일(예: check.php) 생성 후 웹 브라우저 접속 내용:
※ 주의: 서버 내부 설정과 경로 정보가 외부에 노출될 수 있으므로, 버전 확인 직후 해당 파일을 서버에서 반드시 삭제해 주시기 바랍니다.
5. 시스템 관리자 조치 요구사항
o 최신 보안 패치 적용: 점검 대상 버전을 사용하는 서버는 OS 패키지 매니저(apt, dnf, yum 등) 또는 소스 컴파일을 통해 해결 버전 이상으로 업데이트
o 유휴·방치 웹서버 점검: 과거 개설 후 관리가 미흡한 연구실 과제 서버, 임시 사이트, 관리자 콘솔이 교외로 노출되어 있는지 확인하고 불필요한 서비스는 중지
6. 문의처 및 참고 링크
o 문의 연락처: 정보인프라팀 정보보호 담당자(02-3290-4191, 4196, 4198 / security@korea.ac.kr)
o 참고 공지: PHP 공식 보안 권고 ( https://www.php.net/archive/2026.php#2026-10-21-5 )