[PHP 취약점 파장] 새 결함 추가 발견⋯"기존 패치로 해결 안 돼"

[아이뉴스24 안세준 기자] 전 세계 웹사이트 개발 등에 쓰이는 프로그래밍 언어 'PHP'에서 새로운 보안 취약점이 발견됐다. 기존 보안 업데이트로는 해결되지 않는 결함으로, 한국인터넷진흥원(KISA)은 영향을 받는 서버에 임시 보안 조치를 적용할 것을 권고했다.

KISA는 24일 보호나라를 통해 PHP 신규 취약점 'CVE-2026-115560'에 대한 보안 공지를 게시했다. 이용자의 접속 상태 등을 관리하는 세션 처리 과정에서 발생하는 새로운 결함이 발견된 것이다. 악용되면 공격자가 원격으로 서버에서 임의의 코드를 실행할 수 있다.

다만 모든 PHP 서버가 영향을 받는 것은 아니다. 세션 정보 저장 형식을 프로그램 실행 중 특정 방식으로 변경하는 동작과 파일 업로드 진행 상황을 추적하는 기능이 함께 사용되는 등 조건이 모두 충족돼야 한다. PHP 개발팀은 실제 운영 환경에서는 이 같은 설정과 코드의 조합은 드물다고 설명했다.

이 결함은 앞서 21일 배포된 PHP 8.5.12·8.4.27·8.3.36·8.2.35 보안 업데이트로도 해결되지 않는다. 영향을 받는 버전 범위는 아직 공개되지 않았다. 수정 패치는 차기 정기 업데이트를 통해 제공될 예정이다.

KISA는 패치 배포 전까지 영향을 받는 서버의 파일 업로드 진행 추적 기능을 끄도록 권고했다. PHP 설정 파일 등에서 'session.upload_progress.enabled' 값을 0으로 바꾸고 PHP 실행 프로세스를 모두 재시작하는 방식이다.

앞선 PHP2Shell 취약점 대응 과정에서 이미 같은 설정을 적용했다면 이를 유지하면 된다. 다만 이번 임시 조치가 기존 PHP2Shell 취약점 전체를 해결하는 것은 아니기 때문에 앞서 배포된 보안 업데이트도 적용해야 한다.