메모리 부족에 따른 손상
CVE-2026-109618은 OOM 조기 종료 후 부분 초기화 메모리가 정리 단계에서 쓰이는 문제입니다. 패치는 소프트·하드 메모리 처리를 도입합니다. mod_php에서 완전한 RCE를 확인했습니다. FPM은 앱 경로에 따라 위험하지만 이 CVE의 완전한 FPM 실증은 보고되지 않았습니다.
FPM은 제외되나요?
아닙니다. FPM은 요청 시작 실패 시 자식 프로세스를 종료해 일부 초기 경로를 막지만 앱 실행 및 교차 요청 경로는 남습니다. 모든 환경이 mod_php와 동일하지 않으며 FPM도 패치해야 합니다.
메모리 설정 주의
memory_limit=-1은 PHP 한도로 유발되는 일부 OOM만 줄이며 OS 할당 실패는 남습니다. 별도의 컨테이너·cgroup 제한이 필요합니다. RLIMIT_AS와 RLIMIT_DATA로 대체하지 마세요. 디코딩 크기, multipart 헤더·파트·중첩을 제한하세요. post_max_size만으로 부족합니다.
2. 패치 빌드 설치
첫 수정 버전은 8.2.35, 8.3.36, 8.4.27, 8.5.12입니다. 지원 브랜치와 호환 확장을 선택하고 앱 및 상태 검사를 수행하세요. 공식 PHP나 담당 공급업체에서 받으세요. WAF와 CMS 업데이트는 대안이 아닙니다.
| PHP 브랜치 | 이 버전 미만의 업스트림 | 최초 수정 버전 | 보안 지원 종료 |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 2029년 12월 31일 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 2028년 12월 31일 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 2027년 12월 31일 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 2026년 12월 31일 |
PHP 8.1 이하를 사용하시나요?
해당 브랜치의 일반 PHP 릴리스는 없습니다. 7.4, 8.0, 8.1의 최소 소스 백포트가 있으며 공급업체 지원은 별도로 확인해야 합니다. 가이드 읽기 ↗
일차 출처 및 추가 자료
PHP security teamSecurity advisory · 21 Oct 2026
CVE-2026-109618GHSA-w8hw-w9fx-j79w · OOM corruption
CVE-2026-109619GHSA-6wmf-4rv5-p3rp · Stale global state
다음 단계3. 전체 재시작 및 검증 ↗