‘인터넷이 다 뚫렸다’는 불안 속, PHP 공지가 말하는 것

불안은 한 문장으로 퍼지지만, 대응은 취약점 하나씩 진행된다. 지금 필요한 구분은 위험의 존재와 실제 피해의 확인이다.

PHP 프로젝트는 10월 21일 CVE-2026-109618·CVE-2026-109619에 관한 긴급 보안 릴리스를 발표했다. 두 결함은 영향을 받는 웹 서버에서 인증 없이 원격 코드 실행으로 이어질 수 있는 심각한 취약점이다. 같은 날 KISA도 PHP 업데이트를 권고했다.

23일 한국 커뮤니티에서는 여러 사건을 나열한 영문 X 게시물이 번역·재공유되며 국내 대응에 대한 걱정으로 이어졌다. 하지만 PHP 관련 국내 보안 권고는 이미 공개돼 있다.

해외 관리자 커뮤니티 Reddit에서는 패치 공개를 알리고 공식 공지를 공유하는 반응이 보인다. 댓글에는 다운로드 속도와 배포 직후 혼잡에 관한 대화도 있어, 막연한 공포와는 다른 실무의 장면을 보여준다.

PHP 재단은 수정 지연에 의사결정과 인력 자원의 구조적 문제가 있었다고 설명했다. 보안은 새 취약점을 찾는 속도뿐 아니라, 오래된 기반을 유지하는 사람과 절차의 문제이기도 하다.

PHP 공식 수정판은 8.2.35·8.3.36·8.4.27·8.5.12다. KISA는 지원 종료된 PHP 8.1 이하를 지원 버전으로 옮기라고 안내했다. 일부 배포판·호스팅 업체는 자체 패키지 번호로 수정 사항을 역이식할 수 있으므로 단순 버전 문자열보다 공급업체 보안 공지도 확인해야 한다. 위험의 존재가 곧 실제 침해 확인은 아니다.

PHP를 운영한다면 실행 중인 버전과 배포판의 보안 공지, 실제 배포·컨테이너 이미지의 패치 적용 여부를 신속히 점검할 필요가 있다. 업데이트는 우선순위가 높은 대응이며, 특정 회사나 은행이 피해를 봤다는 주장은 별도 근거 없이 연결하지 않는다.