PHP 긴급 취약점, 업계 통상 40만원 상당의 점검을 무료로
2026년 10월 21일 PHP 보안팀이 로그인 없이 서버를 장악할 수 있는 원격 코드 실행 취약점 두 건을 공지했습니다. 내 사이트가 해당하는지 파일 하나로 확인하세요. 무료이고, 점검 결과는 외부로 보내지 않습니다.
무료 점검 파일 받기 · 워드프레스 플러그인 (.zip) · 단독 점검 파일 (.php)
무슨 일이 생겼나
- CVE-2026-109618: 메모리 부족 처리 중 요청 데이터가 반쯤 만들어진 상태로 남아 원격 코드 실행으로 이어질 수 있습니다.
- CVE-2026-109619: 이미 해제된 메모리를 가리키는 내부 상태가 다음 요청까지 남아 원격 코드 실행으로 이어질 수 있습니다.
- 웹 요청을 처리하는 모든 PHP가 대상입니다(PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed). PHP 보안팀은 Apache mod_php의 위험이 가장 높다고 밝혔습니다.
- 워드프레스·플러그인 업데이트로는 고쳐지지 않습니다. 문제는 PHP 자체에 있어서 PHP를 올려야 합니다.
출처: php.net 보안 공지 (2026-10-21)
수정된 버전
| 사용 중인 PHP | 이 버전 이상이면 안전 |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1, 8.0, 7.4 | PHP 공식 수정판 없음. 호스팅사 백포트 확인 또는 8.2 이상으로 업그레이드 |
| 7.3 이하 | 지원 종료. 업그레이드 필요 |
점검하는 방법 (셋 중 하나)
1. 워드프레스 사이트
관리자 > 플러그인 > 새로 추가 > 플러그인 업로드에서 azet-php-check.zip을 올리고 활성화합니다. 도구 > PHP 긴급 점검에서 결과를 봅니다. 조치가 필요하면 관리자 화면 위쪽에 알림이 뜹니다. 관리자에게만 보이고 공개 주소는 만들지 않습니다.
2. 워드프레스가 아닌 PHP 사이트
azet-php-check.php를 FTP로 웹 루트에 올리고 브라우저에서 https://내도메인/azet-php-check.php를 엽니다. 결과를 보여 준 뒤 파일이 스스로 지워집니다. 지우지 못했다고 나오면 직접 지워 주세요.
3. 서버에 접속할 수 있다면
php azet-php-check.php를 실행합니다. 단, 명령줄 PHP와 웹 PHP의 버전이 다를 수 있으니 웹 방식 결과를 우선하세요.
결과 읽는 법
- 안전: 수정된 버전입니다. 할 일이 없습니다.
- 업데이트 필요: 위 표의 버전 이상으로 PHP를 올리세요. 호스팅 관리 화면에서 PHP 버전을 바꿀 수 있는 경우가 많습니다.
- 호스팅·배포판 확인 필요: 우분투·데비안·레드햇 같은 배포판은 버전 번호를 그대로 두고 수정을 넣습니다. 번호만으로는 판단할 수 없으니 호스팅사나 서버 관리자에게 "CVE-2026-109618, CVE-2026-109619 적용 여부와 적용 후 PHP 재시작 여부"를 물어보세요. 관리형 호스팅이라면 호스팅사 공지를 먼저 확인하세요.
바로 업데이트할 수 없다면 (임시 완화)
아래 설정은 공격 경로 일부를 줄일 뿐 안전하게 만들지는 않습니다. 업데이트가 유일한 해결책입니다.
session.upload_progress.enabled=0을 php.ini나 FPM 풀 설정에 넣고 모든 워커를 재시작합니다(ini_set()이나.user.ini로는 안 됩니다).post_max_size를 낮춥니다. 업로드가 없으면 8M, 있으면 32M,upload_max_filesize는 그보다 작게 둡니다.memory_limit=-1을 애플리케이션이 덮어쓸 수 없는 곳(FPM 풀의php_admin_value등)에 둡니다.
직접 조치가 어렵다면
점검 결과 화면을 캡처해 hello@azet.io로 보내 주세요. 호스팅사에 보낼 문의 문안과 조치 순서를 무료로 정리해 드립니다. 서버를 직접 운영한다면 무차별 대입 차단과 정기 취약점 점검을 해 주는 AZET Shield를 Free 플랜으로 바로 쓸 수 있습니다.
자주 묻는 질문
Q. 점검 파일이 내 서버 정보를 어딘가로 보내나요?
보내지 않습니다. 파일 하나짜리 PHP 코드라 직접 열어 확인할 수 있습니다. 결과는 내 화면에만 나옵니다.
Q. 워드프레스를 최신으로 올렸는데 괜찮은 것 아닌가요?
아닙니다. 이번 문제는 워드프레스가 아니라 그 아래에서 돌아가는 PHP에 있습니다.
Q. 점검 플러그인은 계속 켜 둬야 하나요?
아니요. 안전으로 나오면 비활성화하고 삭제해도 됩니다.