안녕하세요! XE팀입니다.
2026년 10월 21일, PHP에서 인증되지 않은 외부 공격자가 서버에서 임의의 코드를 실행할 수 있는 심각한 보안 취약점 2건이 공개되었습니다.
이번 취약점은 PHP 자체에서 발생하는 문제로, XE를 포함한 PHP 기반 웹사이트 전반에 영향을 줄 수 있습니다.
웹사이트의 보안과 안정적인 서비스 운영을 위해 아래 내용을 확인하시고 필요한 조치를 진행하시기 바랍니다.
이번에 공개된 취약점은 다음과 같습니다.
두 취약점 모두 공격자가 로그인하지 않은 상태에서 악용할 수 있으며, 공격에 성공할 경우 다음과 같은 피해가 발생할 수 있습니다.
PHP-FPM, Apache mod_php 등 웹 요청을 처리하는 PHP 실행 환경이 영향을 받을 수 있습니다.
| PHP 버전 | 영향받는 버전 | 보안 패치 버전 |
|---|---|---|
| PHP 8.5 | 8.5.12 미만 | 8.5.12 이상 |
| PHP 8.4 | 8.4.27 미만 | 8.4.27 이상 |
| PHP 8.3 | 8.3.36 미만 | 8.3.36 이상 |
| PHP 8.2 | 8.2.35 미만 | 8.2.35 이상 |
PHP 8.1 이하 버전은 공식 보안 지원이 종료된 상태입니다.
PHP 5.x 부터 PHP 8.1 이하 모든 버전이 해당됩니다.
일부 운영체제 및 장기 지원(LTS) 공급업체에서 별도의 보안 패치를 제공할 수 있으므로,
해당 환경을 이용 중이라면 패치 제공 여부를 확인해야 합니다.
해당 버전을 사용 중이라면 아래 문제가 해결되기 전 까지 서버를 중단하는 것을 권고합니다.
권고 조치사항
1 즉시 패치 적용: 영향받는 PHP 버전을 사용 중인 경우 최신 패치 버전으로 즉시 업그레이드하시기 바랍니다.
2 임시 완화 조치 적용: 즉시 업그레이드가 어려운 경우, PHP 공식 보안 권고에 명시된 임시 구성 변경을 적용하시기 바랍니다.
3 워커 재시작: 구성 변경 후 PHP 워커를 재시작하여 변경사항을 적용합니다.
4 지원 종료 버전 마이그레이션: PHP 5.4 - 8.1을 사용 중인 경우 지원되는 최신 버전으로 마이그레이션을 시작하시기 바랍니다.
참고 자료
