PHP 긴급 보안 업데이트…국내 웹서비스 대응 점검

먼저 확인할 핵심 사실

공개일

PHP 개발팀은 10월21일 긴급 보안 공지를 공개했다. [2]

수정 버전

공식 공지는 8.5.12·8.4.27·8.3.36·8.2.35를 수정 버전으로 제시했다. [2]

대상 위험

웹 요청을 처리하는 PHP 설치에서 인증 없는 원격 코드 실행 위험이 공지됐다. [2]

운영 환경과 수정 패키지부터

공식 공지는 웹 요청을 받는 PHP 설치의 원격 코드 실행 위험과 수정 버전을 안내한다. 운영자가 확인할 것은 실제 요청을 처리하는 런타임 계열과 공급업체가 제공한 수정 패키지의 적용 여부다. 배포판이 보안 수정을 이전 버전에 반영할 수도 있어 숫자만 보고 패치 여부를 단정해서는 안 된다.

추가 설정 안내는 조건이 다르다

23일 추가 공지는 세션 직렬화 설정을 실행 중 바꾸는 코드와 업로드 진행 기능이 함께 있는 특수 조건을 설명한다. 이는 21일 공개된 수정 버전 안내와 구별해 읽어야 한다. 모든 사이트에서 같은 증상이 이미 발생했다는 뜻도 아니다.

소유자와 외주 운영사의 담당 범위를 정하고 실제 배포·재시작·검증까지 연결해야 공지가 운영상의 조치가 된다. 이 해설은 특정 사이트의 침해 여부를 판정하거나 임시 설정을 완전한 해결책으로 보증하지 않는다.

어떤 취약점이며 왜 서비스 확인까지 필요한가

PHP 개발팀은 이번 공지에서 메모리 부족 처리 중 데이터 상태가 불완전해지는 문제와, 해제된 메모리의 오래된 내부 상태가 다음 요청에 남을 수 있는 문제를 설명한다. 웹 요청을 처리하는 여러 실행 방식이 대상이며 특정 프레임워크를 쓰는지 여부만으로 영향에서 제외할 수 있다고 안내하지는 않았다.

공지는 리눅스 배포판과 장기 지원 업체가 이전 버전에 보안 수정을 반영할 수 있다고도 설명한다. 따라서 화면에 보이는 버전 번호만 보지 말고 공급업체의 수정 패키지 적용 여부를 확인해야 한다. 운영 관점에서는 업데이트 설치, 실제 요청을 처리하는 프로세스의 교체, 주요 기능 정상 동작 확인이 연결돼야 패치가 서비스에 반영됐다고 판단할 수 있다.

지금 가능한 결론

PHP 개발팀은 치명적인 원격 코드 실행 취약점을 고친 보안 버전을 배포했어요. 웹 운영자는 사용 버전과 공급업체 패치 적용 여부를 우선 확인할 사안이에요.

이렇게 해석한 근거

개발팀의 보안 공지는 수정 버전과 노출되는 운영 범위를 명시한다. 별도 설정 안내도 있어 버전·공급업체·코드 조건을 나눠 점검해야 한다.

아직 남은 부분

개별 사이트의 설치 상태나 공격 성공 여부는 이 자료로 확인할 수 없어요. 실제 조치는 운영 담당자가 공식 공지와 공급업체 안내에 맞춰 검증해야 해요.

원문·자료

1. 한국경제 ↗종류 미기록 · 확인 범위 미기록
2. PHP 개발팀 — 10월21일 보안 업데이트 및 23일 추가 공지 ↗1차 자료 · 본문 확인