무슨 일이 있었나요?
PHP 프로젝트가 공식 공지 채널인 php.announce 메일링 리스트에서 곧 치명적(critical) 등급의 보안 릴리스를 내놓겠다고 예고했어요. 대상 취약점은 CVE-2026-109618과 CVE-2026-109619 두 건이에요.
눈여겨볼 점은 이게 '패치가 나왔다'는 소식이 아니라 '패치가 곧 나온다'는 사전 공지라는 거예요. PHP는 보통 정기 릴리스 노트에 보안 수정 사항을 같이 적어서 내보내는 편이라, 이렇게 따로 예고까지 하는 일은 흔하지 않거든요. 그만큼 영향 범위가 넓거나 악용됐을 때 피해가 크다고 본 거라고 해석하는 게 자연스러워요.
사전 공지는 왜 하는 걸까요?
이건 보안 업계에서 흔히 쓰는 엠바고(embargo, 공개 유예) 방식이에요. 취약점 내용을 공개하면 공격자도 그 글을 똑같이 읽게 되니까, 패치가 준비될 때까지는 세부 내용을 숨겨둬요. 그 대신 '이때쯤 중요한 패치가 나오니까 준비해 두세요' 하고 일정과 심각도만 먼저 알려주는 거죠.
아파트 관리사무소가 '다음 주 화요일에 현관 도어락을 긴급 교체합니다' 하고 미리 붙여두는 거랑 비슷해요. 어떤 결함인지 자세히 써 붙이면 도둑이 먼저 올 테니까, 일정만 알려서 주민들이 그날 대비하게 하는 거예요.
이 방식으로 잘 알려진 곳이 OpenSSL이에요. 하트블리드(Heartbleed) 사태 이후로 OpenSSL은 심각도가 높은 패치를 내기 전에 사전 공지를 하고 있는데요, 덕분에 리눅스 배포판이나 클라우드 업체들이 릴리스 당일에 거의 동시에 패치를 배포할 수 있게 됐어요. PHP가 비슷한 방식을 택했다는 건 결국 '릴리스 당일 바로 적용할 수 있게 지금 준비하라'는 메시지예요. 패치가 공개되면 공격자들은 수정 전후 코드를 비교(diff)해서 취약점을 거꾸로 찾아내거든요. 그래서 공개 직후 며칠이 제일 위험한 시기예요.
지금 당장 할 수 있는 준비
세부 내용이 나오기 전에도 할 수 있는 일이 꽤 많아요. 지금 해두면 릴리스 당일이 훨씬 편해지고요.
1. 우리가 쓰는 PHP 버전 목록부터 만드세요. 이걸 정확히 모르는 팀이 의외로 많아요. 운영 서버에서 php -v로 확인한 버전, Dockerfile에 적힌 베이스 이미지 태그(php:8.3-fpm 같은 것), CI 러너의 PHP 버전, 구석에서 돌고 있는 레거시 관리자 페이지 서버까지 전부 한 장에 정리해 두세요.
2. 지원이 끝난 버전은 아닌지 확인하세요. PHP는 버전마다 지원 기간이 정해져 있어요. 8.1은 2025년 말에 보안 지원까지 다 끝났고, 8.2는 아직 보안 지원 중이긴 한데 올해 12월 말이면 끝나요. 지원이 끝난 버전에는 공식 패치가 안 나온다고 보셔야 해요. 7.x나 8.0을 쓰고 있다면 사실상 무방비 상태고요. 이번 기회에 업그레이드 계획을 같이 세우는 걸 추천해요.
3. 패치를 받는 경로를 확인하세요. 공식 소스 릴리스가 나와도 우분투나 레드햇 같은 배포판 패키지, 공식 Docker 이미지에는 조금 늦게 반영될 수 있어요. 소스에서 직접 빌드하는지, 배포판 패키지를 쓰는지, 서드파티 저장소를 쓰는지에 따라 패치를 받는 시점이 달라지니까 우리 팀은 어느 경로인지 미리 확인해 두세요.
4. 재시작 절차를 정리하세요. PHP-FPM은 바이너리를 바꿔도 프로세스를 다시 띄워야 반영돼요. 무중단 재시작(graceful reload) 방법, 서버별로 하나씩 배포하는 순서, 문제가 생겼을 때 되돌리는 방법까지 적어두면 당일에 허둥대지 않아요.
5. 공지 채널을 구독하세요. php.announce 메일링 리스트, 쓰고 있는 리눅스 배포판의 보안 공지, 컨테이너 이미지 업데이트 알림을 받아두세요. 패치를 바로 적용하기 어려운 환경이면 릴리스와 함께 나오는 임시 완화책 안내도 꼼꼼히 읽어보셔야 해요.
한국 개발 환경에서 특히 중요한 이유
한국 웹 생태계에서 PHP 비중은 여전히 정말 커요. 그누보드나 라이믹스로 만든 커뮤니티, 워드프레스 블로그, 쇼핑몰 솔루션, 사내 그룹웨어, Laravel로 만든 신규 서비스까지 PHP로 돌아가는 게 많거든요. 공유 웹호스팅을 쓰는 곳은 PHP 버전을 직접 못 올리는 경우도 많으니까 호스팅사 패치 일정도 꼭 확인하세요.
'우리 회사는 PHP 안 쓰는데요?' 하는 분들도 한 번만 더 찾아보세요. 사내 위키, 모니터링 도구, 오래된 이벤트 페이지처럼 누군가 예전에 세팅해 놓고 잊어버린 PHP 서비스가 숨어 있는 경우가 생각보다 흔해요. 공격자들이 제일 좋아하는 게 이런 '잊힌 서버'예요.
마무리
한 줄 정리: 취약점 내용은 아직 비공개지만 준비는 지금 할 수 있어요. 버전 목록이랑 재시작 계획, 오늘 만들어 두세요.
여러분 팀은 PHP 보안 패치가 나오면 보통 얼마 만에 운영 환경까지 반영하시나요? 어쩔 수 없이 지원 종료된 PHP 버전을 계속 쓰고 있다면 위험을 어떻게 관리하고 계신지도 궁금해요.
🔗 출처: Hacker News