PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 출시, 치명적 원격 코드 실행 취약점 수정

PHP가 인증 없이 원격 코드 실행이 가능한 취약점 2개를 수정한 보안 릴리스를 공개함. 모든 PHP 사용자에게 즉시 업데이트를 강력히 권고함 웹 요청을 처리하는 모든 PHP 설치 환경이 위험 대상이며, 특히 mod_php에서는 애플리케이션 코드 실행 전 공격이 가능한 사례가 확인됨 취약점은 불완전하게 초기화된 요청 데이터 사용과 메모리 해제 후 남은 전역 상태 재사용에서 발생하며, 두 취약점 모두 CVSS v4.0 점수가 9.2임 완전한 해결책은 업데이트뿐임. 메모리 제한 조정이나 일부 기능 비활성화는 특정 공격 경로의 노출을 줄일 뿐, 설치 환경을 안전하게 만들지는 못함 PHP 8.1 이하는 정규 업데이트가 종료돼 배포판의 백포트 패치 확인이나 지원 버전으로의 업그레이드가 필요함. PHP 8.2도 2026년 12월 31일 지원이 종료됨 보안 릴리스와 영향 범위 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35는 인증 없는 원격 코드 실행으로 이어질 수 있는 취약점 2개를 수정함 변경 내역은 각 버전의 ChangeLog에서 확인 가능함: 8.5.12, 8.4.27, 8.3.36, 8.2.35 보안 권고의 영향 대상은 웹 요청을 처리하는 모든 PHP 설치 환경임 PHP-FPM, Apache의 mod_php, php-cgi, FrankenPHP, LiteSpeed가 포함됨 mod_php의 위험도가 가장 높으며, 인증되지 않은 요청이 애플리케이션 코드 실행 전에 공격을 유발하는 사례가 입증됨 사전 공지에서는 두 취약점 모두 CVSS v4.0 9.2로 평가하고, 릴리스를 2026년 10월 21일 14:00 UTC로 예고함 취약점 세부 정보가 공개되거나 실제 악용 증거가 나타나면 조기 공개할 수 있다는 조건이 있었음 두 취약점의 작동 방식 CVE-2026-109618, 메모리 부족으로 인한 손상을 통한 RCE 메모리 부족 처리가 내부 요청 데이터의 초기화가 일부만 끝난 시점에 PHP 실행을 중단시킬 수 있음 이후 요청 정리 과정에서 유효하지 않은 데이터를 유효한 것으로 취급할 수 있음 CVE-2026-109619, 오래된 전역 상태를 통한 RCE 요청에 속한 내부 상태가 이를 저장하는 메모리의 해제 후에도 남을 수 있음 같은 워커가 처리하는 후속 요청이 정상 초기화로 상태를 재설정하기 전에 이 오래된 상태를 사용할 수 있음 업데이트 경로와 구버전 대응 수정 버전으로 즉시 업데이트해야 하며, 소스는 다운로드...