정보보호 지식백과
방향키로 결과를 고르고 엔터로 이동합니다. Esc를 누르면 목록이 닫힙니다.

홈페이지 운영자용

PHP 보안 업데이트 점검

2026년 10월 PHP가 공개한 보안 권고에 내 홈페이지 서버가 해당할 수 있는지, 아는 만큼 고르면 확인할 일을 정리해 줍니다. 서버를 잘 몰라도 쓸 수 있고, 모르는 항목은 ‘모름’을 고르면 업체에 보낼 문의 문구에 담깁니다.

이 도구가 하는 일과 하지 않는 일

  • 입력한 정보에 따른 결과입니다. 서버에 접속하거나 서버를 직접 검사하지 않습니다.
  • 홈페이지 전체가 괜찮다는 종합 판정은 내리지 않습니다. 항목마다 확인된 조건과 확인되지 않은 조건을 나눠 보여 줍니다.
  • 입력값은 브라우저 안에서만 계산하며 서버·주소·분석 도구로 보내지 않고 저장하지 않습니다. 새로 고치면 사라집니다.

점검 도구가 아직 실행되지 않았습니다

이 도구는 브라우저 안에서 자바스크립트로 계산합니다. 자바스크립트가 꺼져 있거나 불러오지 못하면 입력할 수 없습니다. 자바스크립트를 켜고 새로 고치거나, 아래 ‘판정 범위’와 ‘출처’를 보고 호스팅 업체에 수정 반영 여부를 확인하세요. 이 화면은 입력값을 어디로도 보내지 않습니다.

1. 홈페이지를 어디에서 운영하나요?

호스팅 관리 화면이나 업체 안내에 나온 세 자리 버전을 적으세요. 모르면 비워 두세요. 서버 명령줄의 php -v 결과는 홈페이지가 쓰는 PHP와 다를 수 있습니다.

3. 서버 운영체제
4. PHP를 누가 설치했나요?

리눅스 패키지 버전 뒤의 숫자(예: -1, +deb12u1)는 배포판의 개정 번호이며 Windows 재빌드가 아닙니다.

5. PHP 실행 방식

실행 방식은 위험의 정도를 설명할 뿐, 업데이트가 필요한지는 바꾸지 않습니다.

결과 표시의 뜻

영향 가능성 있음
입력한 정보로는 수정 버전 조건을 충족하지 못합니다. 업데이트가 필요합니다.
추가 확인 필요
버전을 모르거나, 업체가 같은 버전 번호에 수정을 넣었을 수 있는 등 정보가 부족합니다. ‘지금 확인 필요’가 함께 보이면 바로 확인하세요.
수정 버전 조건 충족
입력한 버전이 공식 수정 버전 이상이라는 뜻일 뿐입니다. 설정·다른 구성요소·업체 패치 여부는 따로 확인합니다.
권고 설정 적용 — 정식 수정 전
공식 안내가 권하는 설정을 적용했다고 답한 경우입니다. 정식 수정이 아닙니다.
이 도구에서 확인하지 않음 — 공급자 확인 필요
이 도구의 확인 범위 밖입니다. 해당 권고와 무관하다는 뜻이 아니므로 공급자에게 확인하세요.

판정 범위

자료 확인일: 2026-11-06. 확인일은 사람이 출처를 직접 열어 본 날이며, 빌드할 때 자동으로 바뀌지 않습니다.

  • 원격 코드 실행 — 메모리 부족 처리 오류 (CVE-2026-109618, CVSS v4.0 9.2)

    계열별 수정 버전: 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12. 같은 계열 안에서만 비교하며, 시험판·개발판·알 수 없는 형식은 따로 다룹니다.

    실행 방식: 공식 권고는 Apache 모듈(mod_php)에서 위험이 가장 높다고 봅니다. 인증 없이 보낸 요청으로 원격 코드 실행이 검증됐습니다. 공식 권고는 PHP-FPM도 위험 대상에 넣습니다. 완전한 공격 시연은 없지만 소스 분석상 취약하다고 봅니다. 위험이 낮다는 뜻은 아닙니다.

    운영체제 패키지나 호스팅 업체의 PHP는 버전 번호를 그대로 두고 수정만 넣을 수 있어, 번호가 낮아도 ‘영향 가능성 있음’ 대신 ‘추가 확인 필요’로 표시합니다.

  • 원격 코드 실행 — 해제된 요청 상태 재사용 (CVE-2026-109619, CVSS v4.0 9.2)

    계열별 수정 버전: 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12. 같은 계열 안에서만 비교하며, 시험판·개발판·알 수 없는 형식은 따로 다룹니다.

    실행 방식: 공식 권고에서 공격 가능이 확인된 실행 방식입니다. 공식 권고는 웹서버가 요청마다 PHP 설정 값을 넘기는 구성 등 조건에서 노출된다고 설명합니다. 그런 구성인지 모르면 노출 가능성을 배제하지 마세요.

    운영체제 패키지나 호스팅 업체의 PHP는 버전 번호를 그대로 두고 수정만 넣을 수 있어, 번호가 낮아도 ‘영향 가능성 있음’ 대신 ‘추가 확인 필요’로 표시합니다.

  • 세션 업로드 진행 기능과 실행 중 직렬화 방식 변경 (CVE-2026-115560)

    아직 수정 버전이 없고 정식 권고 전입니다. 버전이 아니라 설정과 앱 동작으로 갈립니다. 아래 조건이 모두 맞을 때 해당합니다.

    • 설정에서 session.serialize_handler 를 php_binary 또는 php_serialize 로 두고, 앱이 실행 중 ini_set() 으로 php 로 바꾼 뒤 session_start() 를 호출한다
    • 세션 업로드 진행 기능(session.upload_progress.enabled)이 켜져 있다

  • Brotli 압축 해제 오류 — PHP 공식 Windows 패키지 재빌드 (CVE-2026-111497, CVSS v4.0 9.2)

    이 도구는 PHP 공식(php.net) Windows 배포 패키지의 재빌드 여부만 확인합니다. Brotli 취약점 자체는 Brotli 1.0.3~1.2.0을 쓰는 모든 플랫폼에 해당한다고 공개됐습니다.

    재빌드 패키지: 8.2.35-1 · 8.3.36-1 · 8.4.27-1 · 8.5.12-1. PHP Windows 빌드에서는 cURL 확장의 HTTP 응답 자동 압축 해제를 켠 경우에 취약한 디코더에 도달합니다. cURL 기본값은 꺼짐이지만 앱이나 HTTP 라이브러리가 켤 수 있습니다.

    리눅스 서버, 업체가 공급한 PHP, 다른 곳에서 받은 Windows용 PHP는 ‘이 도구에서 확인하지 않음 — 공급자 확인 필요’으로 표시합니다. 리눅스 패키지 버전의 -1 같은 숫자는 Windows 재빌드가 아닙니다.

  • 지원 계열과 지원 종료

    PHP 프로젝트의 보안 지원 계열: 8.5(보안 지원 2029-12-31까지), 8.4(보안 지원 2028-12-31까지), 8.3(보안 지원 2027-12-31까지), 8.2(보안 지원 2026-12-31까지). 8.1 이하 계열은 PHP 프로젝트 지원이 끝나 PHP가 업데이트를 내지 않습니다. 배포판·호스팅 업체가 따로 유지보수할 수는 있지만, 이 도구는 그 패치 상태를 추정하지 않고 ‘지금 확인 필요’로 표시합니다.

    8.6.0 RC5(2026-11-05)는 시험판이며 공식 공지가 운영 사용을 금지합니다. 정식 8.6.0은 2026-11-19 출시 예정으로 공지됐을 뿐, 이 자료의 확인일까지 출시되지 않았습니다.

주의사항

  • 버전을 확인하려고 phpinfo() 파일을 웹에 올리지 마세요. 서버 정보가 그대로 공개됩니다. 설정 파일 전체, 로그, 비밀번호·키 같은 비밀값도 이 도구나 문의 글에 붙이지 마세요.
  • 서버 명령줄의 php -v 결과(CLI)와 홈페이지가 실제로 쓰는 PHP는 다를 수 있습니다. 호스팅 관리 화면이나 업체 답변을 기준으로 하세요.
  • 업데이트만이 완전한 해결입니다. 아래 임시 조치는 서버 관리자가 업데이트 전까지 판단해 쓰는 것이며, 초보 운영자가 반드시 해야 하는 일이 아닙니다.
서버 관리자용 임시 조치(정식 수정 아님)
  • 세션 업로드 진행 기능을 쓰지 않는다면 php.ini·FPM 풀 같은 서버 설정에서 session.upload_progress.enabled=0 로 두고 PHP 작업 프로세스를 재시작하는 방법을 공식 안내가 제시합니다. 사이트 기능에 영향이 있을 수 있습니다.
  • 임시 조치를 적용해도 결과는 ‘권고 설정 적용 — 정식 수정 전’으로만 표시되며, 수정 버전으로 업데이트해야 합니다.

출처

배포판 링크는 직접 확인한 공식 보안 공지만 싣습니다. 확인하지 못한 공급자의 패치 상태는 추정하지 않습니다.

도움을 받을 곳

한국인터넷진흥원 보호나라에는 주소나 버전을 입력하는 서버 취약점 자가점검 페이지가 있습니다:보호나라 PHP 점검 서비스. 그 페이지는 이 도구와 별개의 서비스이며, 판정 기준은 여기서 확인하지 않았습니다. 침해가 의심되면 아래 창구로 신고·상담하세요.

  • 118 상담센터 (한국인터넷진흥원)

    📞 118

    이용 목적 해킹·악성코드에 감염된 것 같을 때, 불법 스팸을 받았을 때, 개인정보가 침해된 정황이 있을 때 상담하는 곳입니다.

    준비할 정보

    • 무슨 일이 언제 일어났는지 (설치·클릭·수신 시각)
    • 화면 사진 — 문자 원문, 앱 목록, 오류 화면
    • 쓰는 기기 종류와 운영체제

    국번없이 118. 공식 안내 기준으로 1번 해킹/바이러스, 2번 보이스피싱/스미싱, 3번 개인정보, 4번 불법 스팸, 5번 ICT 분쟁조정입니다. 2번을 고르면 경찰청(전기통신금융사기 통합신고대응센터)으로 연결됩니다.

    공식 누리집 열기 ↗

    2026-09-09 확인 · 상담 범위와 메뉴 번호를 공식 안내와 대조했습니다. 운영 시간은 공식 안내에 적혀 있지 않아 이 사이트에도 싣지 않습니다.
    제도와 연락처는 바뀔 수 있으니 최신 정보는 공식 사이트에서 확인하세요.

다른 신고·상담 창구도 보기 →