프로그래밍 언어 PHP에서 원격 코드 실행이 가능한 보안 취약점이 추가로 발견됐다. 기존에 배포된 보안 업데이트를 적용해도 해결되지 않는 결함이다. 한국인터넷진흥원(KISA)은 보안 업데이트가 나오기 전까지 파일 업로드 진행 상황 추적 기능을 끄도록 권고했다.

25일 업계에 따르면 KISA는 전날(24일) 새벽 보호나라를 통해 PHP 신규 취약점(CVE-2026-115560)에 대한 임시 조치를 권고했다.이번 취약점은 앞서 사이버위기경보 상향의 원인이 된 취약점 2건과는 별개다.

취약점은 PHP가 세션을 처리하는 과정에서 생기는 원격 코드 실행 취약점이다. 세션은 웹사이트에서 이용자의 로그인 상태 등 접속 정보를 유지하는 데 쓰인다.

모든 PHP 서버가 영향을 받는 것은 아니다. 세션 처리 설정을 특정 방식으로 지정해 둔 상태에서 프로그램이 세션을 시작하기 전에 이 설정을 바꾸고, 파일 업로드 진행 상황 추적 기능까지 켜져 있어야 영향을 받는다.

PHP 개발팀은 영향을 받는 구체적인 버전 범위를 아직 공개하지 않았다. 취약점을 해결할 보안 업데이트도 아직 배포되지 않았으며 다음 정기 업데이트에서 제공될 예정이다.

지난 21일 배포된 보안 업데이트(8.5.12·8.4.27·8.3.36·8.2.35)로는 이번 취약점이 해결되지 않는다. 기존 업데이트를 적용한 서버라도 세 조건을 모두 충족하면 영향을 받을 수 있어 추가 확인이 필요하다.

KISA는 보안 업데이트가 배포되기 전까지 PHP 설정 파일 등에서 파일 업로드 진행 상황 추적 기능을 비활성화하도록 권고했다. 'session.upload_progress.enabled' 값을 0으로 설정한 뒤 PHP 코드를 실행하는 모든 작업 프로세스(워커)를 재시작하는 방식이다.

앞서 PHP2Shell 취약점 대응을 위한 임시 조치로 이 설정을 적용했다면 추가 조치는 필요하지 않다.

KISA는 영향을 받는 버전과 보안 업데이트 등 추가 정보가 공개되면 공지 내용을 갱신할 예정이다.

한편 앞서 PHP에서는 인증 없이 외부에서 서버에 명령을 실행할 수 있는 취약점 2건(CVE-2026-109618·CVE-2026-109619)이 발견됐다.과학기술정보통신부는 지난 22일 민간 분야 사이버위기경보를 '관심'에서 '주의'로 상향하고 보안 업데이트와 침해 여부 점검을 당부했다.

minju@news1.kr