Debian / Ubuntu PHP 원격 코드 실행 취약점 보안 업데이트 안내
Debian과 Ubuntu가 PHP의 원격 코드 실행 취약점 CVE-2026-109618 및 CVE-2026-109619를 수정하는 보안 업데이트를 배포했습니다. 공식 저장소의 PHP를 사용한다면 배포판에 맞는 수정 패키지 버전을 확인하고 업데이트하시기 바랍니다. Debian DSA-6574-1, Ubuntu USN-8948-1
취약점 개요
- CVE-2026-109618: 메모리 부족 상태에서 PHP 요청의 내부 데이터가 올바르게 관리되지 않아 원격 코드 실행으로 이어질 수 있습니다. PHP 프로젝트 보안 공지
- CVE-2026-109619: 요청이 끝난 뒤 해제된 메모리를 가리키는 내부 상태가 남아 다음 요청에서 사용될 수 있습니다. 특정 조건에서 원격 코드 실행이 가능합니다. PHP 프로젝트 보안 공지
수정된 공식 패키지 버전
| 배포판 | PHP 패키지 계열 | 두 취약점을 수정한 패키지 버전 |
|---|---|---|
| Debian 13 trixie | php8.4 |
8.4.27-1~deb13u1 |
| Ubuntu 22.04 LTS | php8.1 |
8.1.2-1ubuntu2.28 |
| Ubuntu 24.04 LTS | php8.3 |
8.3.6-0ubuntu0.24.04.13 |
| Ubuntu 26.04 LTS | php8.5 |
8.5.4-0ubuntu1.5 |
| Ubuntu 26.10 | php8.5 |
8.5.9-0ubuntu2.1 |
Debian의 수정 버전은 DSA-6574-1에, Ubuntu의 수정 버전과 해당 Apache 모듈·CGI·CLI·FPM 패키지는 USN-8948-1에 명시돼 있습니다.
Ubuntu는 기존 PHP 버전에 보안 수정 사항을 반영해 배포합니다. 예를 들어 Ubuntu 24.04 LTS의 수정 패키지는 8.3.6-0ubuntu0.24.04.13입니다. php -v에 표시되는 앞부분만 업스트림 수정 버전과 비교하지 말고 배포판 패키지 버전 전체를 확인하십시오. USN-8948-1
업데이트 및 설치 버전 확인
sudo apt update
sudo apt upgrade
실제로 사용하는 PHP 실행 방식에 맞춰 설치 버전을 확인하십시오. 다음 명령에서 설치되지 않은 패키지는 무시하면 됩니다.
# Debian 13
apt policy php8.4-fpm php8.4-cli libapache2-mod-php8.4
# Ubuntu 22.04 LTS
apt policy php8.1-fpm php8.1-cli libapache2-mod-php8.1
# Ubuntu 24.04 LTS
apt policy php8.3-fpm php8.3-cli libapache2-mod-php8.3
# Ubuntu 26.04 LTS·26.10
apt policy php8.5-fpm php8.5-cli libapache2-mod-php8.5
apt policy의 Installed 값이 해당 배포판의 수정 버전 이상인지 확인하십시오. 서드파티 PPA, 직접 빌드한 PHP, 컨테이너 이미지의 PHP는 이 표의 공식 패키지 버전만으로 수정 여부를 판단할 수 없습니다.
참고 자료
- Debian 보안 공지 DSA-6574-1: Debian 13 trixie의 수정 버전과 대상 CVE
- Ubuntu 보안 공지 USN-8948-1: Ubuntu 릴리즈별 수정 버전과 대상 패키지
- Ubuntu CVE-2026-109618 추적 페이지
- Ubuntu CVE-2026-109619 추적 페이지
- PHP 프로젝트 GHSA-w8hw-w9fx-j79w: 메모리 부족 처리 취약점의 기술 설명
- PHP 프로젝트 GHSA-6wmf-4rv5-p3rp: 요청 간 내부 상태 취약점의 기술 설명
작성 안내
이 공지는 LLM의 도움을 받아 작성했습니다.
패키지 버전과 취약점 정보는 본문에 연결한 Debian/ Ubuntu / PHP 프로젝트의 공식 공지를 기준으로 정리했습니다.