요청 사이의 잔여 상태

CVE-2026-109619는 해제된 요청 메모리 참조가 워커에 남는 문제입니다. 같은 워커의 다음 요청이 초기화 전에 사용할 수 있습니다. PHP 8.5 치명 오류 역추적과 세션 업로드 진행률 경로가 확인되었습니다. mod_php와 적절한 앱 경로의 FPM에서 RCE가 검증되었습니다.

FPM은 제외되나요?

아닙니다. FPM은 요청 시작 실패 시 자식 프로세스를 종료해 일부 초기 경로를 막지만 앱 실행 및 교차 요청 경로는 남습니다. 모든 환경이 mod_php와 동일하지 않으며 FPM도 패치해야 합니다.

업로드와 역추적

분석 전에 session.upload_progress.enabled=0을 적용하고 재시작하세요. PHP 8.5의 fatal_error_backtraces=0은 확인된 경로만 제거합니다. 초기 진단을 만드는 잘못된 INI를 제거하세요. display_errors, error_reporting, @는 결함을 막지 못하고 모든 변형을 덮지 못합니다.

2. 패치 빌드 설치

첫 수정 버전은 8.2.35, 8.3.36, 8.4.27, 8.5.12입니다. 지원 브랜치와 호환 확장을 선택하고 앱 및 상태 검사를 수행하세요. 공식 PHP나 담당 공급업체에서 받으세요. WAF와 CMS 업데이트는 대안이 아닙니다.

네 개의 브랜치. 명확한 업데이트 목표.
PHP 브랜치이 버전 미만의 업스트림최초 수정 버전보안 지원 종료
PHP 8.5< 8.5.12✓ 8.5.122029년 12월 31일
PHP 8.4< 8.4.27✓ 8.4.272028년 12월 31일
PHP 8.3< 8.3.36✓ 8.3.362027년 12월 31일
PHP 8.2< 8.2.35✓ 8.2.352026년 12월 31일
PHP 8.1 이하를 사용하시나요?

해당 브랜치의 일반 PHP 릴리스는 없습니다. 7.4, 8.0, 8.1의 최소 소스 백포트가 있으며 공급업체 지원은 별도로 확인해야 합니다. 가이드 읽기 ↗

일차 출처 및 추가 자료

PHP security teamSecurity advisory · 21 Oct 2026
CVE-2026-109618GHSA-w8hw-w9fx-j79w · OOM corruption
CVE-2026-109619GHSA-6wmf-4rv5-p3rp · Stale global state
다음 단계3. 전체 재시작 및 검증 ↗