자주 묻는 질문
어떤 PHP 버전이 영향을 받습니까?
지원되는 브랜치에서 8.5.12, 8.4.27, 8.3.36 및 8.2.35 이전의 모든 버전입니다. PHP 8.1 이하는 지원이 종료되어 PHP 프로젝트의 릴리스가 없습니다. 공급업체가 백포트된 수정을 확인해 주지 않는 한 영향을 받는 것으로 간주하십시오.
사이트에 PHP 버전이 표시되지 않습니다. 안전합니까?
반드시 그렇지는 않습니다. 버전을 숨기는 것(expose_php = Off)은 좋은 관행이지만 아무것도 패치하지 않습니다. 서버에서 php -v로 확인하거나 호스팅 업체에 문의하십시오.
검사기에는 오래된 버전이 표시되지만 호스팅 업체는 패치되었다고 합니다. 누가 맞습니까?
둘 다 맞을 수 있습니다. Debian, Ubuntu, RHEL 같은 Linux 배포판은 버전 번호를 바꾸지 않고 보안 수정을 백포트하는 경우가 많습니다. 어떤 패키지 빌드가 설치되어 있는지, 그 변경 기록에 CVE-2026-109618 및 CVE-2026-109619가 언급되어 있는지 호스팅 업체에 문의하십시오.
WordPress, Laravel 또는 사용 중인 CMS가 영향을 받습니까?
취약점이 PHP 자체에 있으므로 영향받는 PHP에서 실행되는 모든 애플리케이션이 노출됩니다. 연구자들은 WordPress, Drupal, Joomla에 대한 인증 없는 공격을 시연했지만 이는 예시일 뿐이며, 간단한 "Hello World" 페이지만으로도 충분합니다. WordPress나 플러그인만 업데이트해서는 해결되지 않으며, PHP를 업데이트해야 합니다.
코드가 실행되지 않아도 데이터가 유출될 수 있습니까?
예. CVE-2026-109619는 공격자가 코드를 실행하지 않고도 PHP 프로세스 메모리, 즉 다른 요청의 비밀번호, 세션 토큰, API 키, 인증서를 노출할 수 있습니다. 이러한 유출은 파일을 남기지 않아 탐지하기 어려우므로, 영향받는 버전으로 인터넷에서 운영된 사이트의 비밀 정보는 변경하십시오.
session.upload_progress를 끄면 해결됩니까?
아닙니다. php.net은 session.upload_progress.enabled=0을 CVE-2026-109619의 일부 확인된 경로에 대한 부분 완화 조치로 제시합니다. 모든 변형을 막지는 못하며, CVE-2026-109618에는 효과가 없습니다.
웹 애플리케이션 방화벽으로 충분합니까?
WAF나 요청 제한은 업데이트하는 동안 노출을 줄일 수 있지만, 문제는 PHP가 요청과 메모리를 처리하는 방식에 있습니다. 업데이트는 여전히 필요합니다.
업데이트 후 무언가를 재시작해야 합니까?
예. PHP-FPM, Apache, LiteSpeed 및 장시간 실행되는 워커는 재시작될 때까지 이전 코드를 계속 실행합니다. 컨테이너는 새 이미지로 다시 생성해야 합니다.
이 검사기는 실제로 무엇을 합니까?
입력한 주소로 HEAD 요청을 한 번(HEAD가 허용되지 않으면 GET) 보내고, 리디렉션을 최대 세 번까지 따라가며, X-Powered-By, Server 같은 응답 헤더를 읽습니다. 공격 페이로드, 대용량 요청, 업로드는 절대 보내지 않으며 다른 경로도 스캔하지 않습니다.
아무 웹사이트나 검사해도 합법입니까?
본인이 소유하거나 평가 권한이 있는 사이트만 검사하십시오. 요청은 일반 방문과 같지만, 책임 있는 사용은 사용자의 책임입니다. 저희는 네트워크별, 사이트별로 검사 횟수를 제한합니다.
PHP 8.5.12에서 완전히 수정되었습니까?
2026년 10월 22일에 8.5.12의 충돌에 관한 보고가 돌았지만, 원격 취약점으로 확인되지는 않았습니다. 저희는 php.net의 정보를 따릅니다. 새 릴리스가 나오면 이 사이트를 업데이트하며 "최종 확인일"이 바뀝니다.
공식 세부 정보는 어디에서 볼 수 있습니까?
php.net과 PHP 프로젝트의 GitHub 보안 권고 GHSA-w8hw-w9fx-j79w 및 GHSA-6wmf-4rv5-p3rp에서 확인할 수 있습니다. 연구팀(Wiz Research, OpenAI Codex Security, Calif)은 php2shell.com에 연구 결과를 공개했습니다.
취약점은 누가 발견했습니까?
Wiz Research, OpenAI Codex Security, Calif의 연구자들이 수정 사항을 준비한 PHP 보안팀과의 조율된 공개를 통해 발견했습니다. 릴리스에 관한 The PHP Foundation의 글을 참고하십시오.