AWS PHP 웹 런타임 보안 이슈: CVE-2026-109618·CVE-2026-109619 즉시 업그레이드 권고
AWS는 PHP 웹 런타임에서 인증 없는 원격 공격자가 코드 실행, 프로세스 접근 가능 데이터 열람, 서비스 거부를 일으킬 수 있는 치명적 취약점 2건을 알렸다. 핵심은 설정 변경만으로는 충분하지 않으며, 영향받는 PHP 8.2~8.5 계열과 수명 종료(EOL)된 5.4~8.1 계열을 사용 중이면 패치 버전으로 올려야 한다는 점이다.
취약점 개요와 영향 범위
이번 이슈는 CVE-2026-109618과 CVE-2026-109619 두 건으로, AWS는 이를 중요한 보안 이슈로 분류했다. 공지에 따르면 영향받는 PHP 워커에서 인증 없이 원격으로 코드 실행이 가능할 수 있고, 프로세스가 접근 가능한 데이터 노출이나 서비스 거부로도 이어질 수 있다.
영향 범위는 고정 버전 미만의 PHP 8.2~8.5와 이미 수명 종료된 PHP 5.4~8.1이다. 특히 EOL 버전은 운영 중인 서버호스팅 표준 이미지나 오래된 웹 애플리케이션 스택에 남아 있을 가능성이 있어, 단순히 현재 서비스만 볼 것이 아니라 배포 템플릿과 내부 저장소까지 함께 점검할 필요가 있다.
권고 버전과 운영 체크리스트
AWS가 제시한 고정 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35다. 설정 변경만으로는 완전한 대응이 아니므로, 운영자는 먼저 현재 PHP 런타임 버전과 웹 워커가 실제 어떤 버전을 로드하는지 확인한 뒤 권고 버전으로 업데이트해야 한다.
점검 순서는 비교적 명확하다. 첫째, 운영 서버와 스테이징, 자동 확장용 이미지에서 PHP 버전을 확인한다. 둘째, 8.2~8.5는 권고된 고정 버전 이상으로 올리고, 5.4~8.1은 잔존 인스턴스 자체를 교체 또는 업그레이드 대상으로 분리한다. 셋째, 내부 패키지 미러, 컨테이너 베이스 이미지, 서버 프로비저닝 스크립트에 구버전 PHP가 남아 있지 않은지 함께 확인한다.
AWS 서비스 이용 환경에서 볼 점
AWS는 영향받는 PHP 버전을 실행하는 제한된 일부 서비스를 확인했으며, 완화 조치와 업데이트를 진행 중이라고 밝혔다. 따라서 관리형 서비스를 함께 쓰는 환경이라면 자체 EC2·컨테이너 워크로드뿐 아니라 해당 서비스별 상태 공지도 함께 확인해야 한다.
공지에는 서비스별 상태와 완화 가이드, AWS WAF 보완 통제도 검토하라고 되어 있다. 다만 WAF는 보완 수단일 뿐, 공지상 설정 변경만으로는 완전한 완화가 아니므로 패치 적용을 우선순위로 두는 것이 맞다.
호스팅·코로케이션 운영에서의 확인 포인트
자체 서버호스팅이나 코로케이션 환경에서는 애플리케이션별로 PHP 버전 편차가 큰 경우가 많다. 같은 랙이나 같은 고객군 안에서도 레거시 사이트, 신규 컨테이너 서비스, 패키지 기반 가상호스팅이 혼재할 수 있어 자산 목록 기준의 일괄 점검이 중요하다.
특히 공용 웹 서버 풀에서 PHP-FPM 또는 유사 워커 구조를 쓰는 경우, 취약 버전이 남아 있으면 단일 서비스 문제가 아니라 운영 중인 여러 사이트에 연쇄 영향이 생길 수 있다. 일본·국내 리전 사용 여부와 무관하게, 인터넷 노출 PHP 워크로드를 우선 식별하고 교체 가능 창을 빠르게 확보하는 대응이 실무적이다.
핵심 포인트
- 인증 없는 원격 공격자가 영향받는 PHP 워커에서 코드 실행, 데이터 접근, 서비스 거부를 유발할 수 있다.
- 영향 버전은 고정 버전 미만의 PHP 8.2~8.5와 EOL인 5.4~8.1이다.
- 권고 고정 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35다.
- 설정 변경만으로는 완전한 완화가 아니며 즉시 업그레이드가 필요하다.
- AWS는 일부 영향 서비스에 대해 완화 조치와 업데이트를 진행 중이며 AWS WAF 보완 통제를 안내했다.