PHP 세 번째 취약점 발견…특정 환경서 원격 코드 실행 위험

"파일 업로드 추적기능 껐다면 추가 조치 불필요"

PHP 관련 이미지. 연합뉴스

[파이낸셜뉴스] 전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 새로운 보안 취약점이 발견됐다. 앞서 확인된 두 가지 취약점에 대응하는 긴급 보안 패치를 설치했더라도 특정 환경에서 영향을 받을 수 있지만, 기존에 권고된 임시 조치를 적용했다면 추가 대응은 필요하지 않은 것으로 나타났다.

25일 한국인터넷진흥원(KISA)에 따르면 PHP 개발팀은 지난 23일(현지시간) 세션 처리 과정에서 발생하는 원격 코드 실행(RCE) 취약점(CVE-2026-115560)을 공개했다.

특정 조건에서 원격 코드 실행이 가능한 결함으로, 지난 21일 배포된 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전의 보안 업데이트로는 해결되지 않는다.

다만 이번 취약점이 발생하는 환경은 제한적이다. PHP 개발팀에 따르면 서버에서 세션 데이터 저장 방식을 'php_binary' 또는 'php_serialize'로 설정한 뒤 프로그램 실행 도중 이를 'php' 방식으로 변경하고, 파일 업로드 진행 상황 추적 기능까지 활성화된 경우에만 취약점이 발생할 수 있다.

PHP 개발팀은 이러한 설정 조합이 실제 운영 환경에서 드물게 나타난다고 설명했다. 특히 지난 21일 공개된 PHP2Shell 취약점(CVE-2026-109619)에 대응하기 위해 파일 업로드 진행 상황 추적 기능을 이미 비활성화 했다면 추가 조치는 필요하지 않다고 밝혔다.

또 프로그램 실행 도중 세션 데이터 처리 방식을 변경하지 않는 애플리케이션은 파일 업로드 진행 상황 추적 기능을 그대로 유지해도 이번 취약점의 영향을 받지 않는다.

이에 PHP 개발팀은 별도의 긴급 보안 패치를 배포하는 대신 다음 정기 업데이트에서 취약점을 수정하고 정식 보안 권고문을 공개하기로 했다. 현재까지 영향을 받는 구체적인 PHP 버전과 수정 버전은 공개되지 않았다.

KISA도 추가 보안 공지를 통해 서버 운영자들에게 정식 보안 업데이트가 배포되기 전까지 서버 설정에서 파일 업로드 진행 상황 추적 기능을 비활성화하고 모든 작업 프로세스를 재시작할 것을 권고했다.

앞선 취약점 대응 과정에서 해당 조치를 이미 적용한 상태라면 추가 조치 없이 기존 설정을 유지하면 된다.

kaya@fnnews.com 최혜림 기자