커뮤니티 자체 CVSS 4.0은 10.0, PHP팀 CVSS 4.0은 9.2짜리 CVE-2026-109618, 109619가 엠바고 걸려있었는데 유출되어서 공개된 상태입니다.
제가 본건 일단 워드프레스 운영서버에 웹쉘 삽입하는 공격이였습니다.
보안취약점 관련 내용과 공격 프로그램을 보안전문가가 아닌 저도 엄청 쉽게 빠르게 접할만큼 지금 악용가능성이 충분한 상태입니다.
https://www.php.net/archive/2026.php#2026-10-20-1
패치는 오늘 새벽에 진행한다는데, 가장 확실한건 php.ini 여셔서 session.upload_progress.enabled Off 설정하고 재시작해주세요.
기본으로 On 설정되어있고, 주석처리 되어있어도 On이니 무조건 Off로 설정하셔야 합니다.
해당 php 설정을 끄더라도 라이믹스 운영에는 문제없어보이니 선제조치 하시면 좋을것같습니다.
에카
Lv. 4
댓글 5
덕분에 빠른 조치 했습니다.
저걸로도 완화가 안된다 이런 말들도 있는데 오늘 오후 11시쯤 PHP팀 공식패치가 나올예정이라 한번 지켜봐야 할것같습니다.
빠르게 조치했습니다!
아래 내용은 php8.4 컨테이너일경우 php.ini 가 없을때는
echo "session.upload_progress.enabled = Off" > /usr/local/etc/php/conf.d/security-fix.ini 실행해도 된다고 하네요.
그러면 security-fix.ini 이것이 conf.d 폴더에 생성된다고 합니다.실제로 해보니 생성됩니다.
php버전 상관없이 다 임시로 다 해야된다고 해요. ai가 그러네요.
참고로 php 8.4 가 아닌경우 이 방법이 안된다고 해요.
저는 회원도 없고 배우는 중이라 별로 중요하지 않은것 같지만 중요한 이슈라 하니 유비무환이라고 따라 해보았습니다. 에카님 감사합니다.
php.ini에서 해당 설정을 끄더라도 해결되지 않는 문제가 남아 있다고 합니다. 일단 제가 관여하는 모든 서버에 php.ini 적용은 완료하였고, 오늘 밤 공식 패치 대기중입니다.
지원 기간이 남아 있는 우분투, 록키 계열의 공식 패키지와 유명 레포(remi, ondrej PPA 등)는 즉시 업데이트되겠지만, 오래된 버전은 언제 패치가 제공될지 알 수 없다는 점이 문제네요. 특히 다양한 버전의 PHP를 제공하는 웹호스팅 업체들이 얼마나 잘 대응할 수 있을지 걱정입니다.
공식처럼 보이는 방법으로 서버를 셋팅했더라도, Amazon Linux Extras처럼 지원 기간이 끝난 버전은 그냥 내다버리는 경우도 있으므로 조심해야 합니다.
보안 전문가들은 패치 릴리즈 후 15분 안에 실제 해킹이 시작될 거라고 예상하고 있습니다. AI에게 패치를 보여주는 순간 공격 방법을 알아내는 것은 순식간이니까요. 오늘 밤에 업데이트하기 어렵다면 클라우드플레어를 사용해서라도 방어하는 것이 좋겠습니다.