메인 콘텐츠로 건너뛰기

PHP 웹 런타임(CVE-2026-109618 및 CVE-2026-109619)

현재 진행 중인 문제로 정보는 변경될 수 있습니다. 가장 최신 패치 정보는 이 공지 사항을 참조하세요.

공지 ID: 2026-143-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시일: 2026년 10월 21일 오후 2시 30분 PDT
마지막 업데이트일: 2026년 10월 30일 오후 1시 15분 PDT

요약:

인증되지 않은 행위자가 영향을 받는 시스템에서 코드를 실행할 수 있게 하는 두 가지 심각한 문제가 PHP 웹 런타임(CVE-2026-109618 및 CVE-2026-109619)에서 확인되었습니다. 원격 호출자는 악의적으로 조작된 웹 요청을 영향을 받는 PHP 워커로 보내 임의의 코드를 실행하거나, 프로세스 접근 가능 데이터를 읽거나, 서비스 거부를 유발할 수 있습니다.

AWS 서비스는 이러한 문제의 영향을 받지 않습니다. 아래 나열된 서비스 내에서 영향을 받는 PHP 버전을 사용하는 고객은 영향을 받을 수 있으므로 제공된 지침을 검토해야 합니다.

영향을 받는 버전:

  • PHP 8.5: 영향을 받는 버전 8.5.0–8.5.11 · 최초 수정 버전: 8.5.12
  • PHP 8.4: 영향을 받는 버전 8.4.0–8.4.26 · 최초 수정 버전: 8.4.27
  • PHP 8.3: 영향을 받는 버전 8.3.0–8.3.35 · 최초 수정 버전: 8.3.36
  • PHP 8.2: 영향을 받는 버전 8.2.0–8.2.34 · 최초 수정 버전: 8.2.35
  • PHP 5.4–8.1: 업스트림 수정 사항이 릴리스되지 않았습니다. 지원 종료 상태이며 계획된 수정 사항이 없습니다. 지원되는 브랜치로의 마이그레이션이 필요합니다.

영향:

이 문제는 인터넷과 고객 애플리케이션 간의 경계에서 인증되지 않은 공격자가 원격으로 악용할 수 있으며, 대상 PHP 워커에서 코드 실행, 프로세스 접근 가능 데이터에 대한 의도하지 않은 접근 또는 서비스 거부를 초래할 수 있습니다. 이 문제는 영향을 받는 워커 및 해당 애플리케이션 수준 권한으로 범위가 제한됩니다. 지금까지 다른 고객으로의 전파는 확인되지 않았습니다.

현재 완화 조치 현황:

  • Amazon EMR: 애플리케이션 세트에 Ganglia를 포함하여 시작한 Amazon EMR on EC2 클러스터가 영향을 받습니다. 구체적으로 EMR 릴리스 4.2.0–5.29.0 및 5.30.0–6.15.0이 해당됩니다. Amazon EMR on EKS 및 Amazon EMR Serverless는 모든 릴리스에서 영향을 받지 않습니다. Amazon EMR on EC2의 경우, 릴리스 7.0.0 이상을 실행하는 클러스터와 Ganglia가 설치되지 않고 시작하는 클러스터도 영향을 받지 않습니다. 영향을 받는 릴리스의 경우, 새로운 클러스터를 시작하는 고객은 Ganglia가 필요하지 않은 경우 이를 생략해야 합니다. 가능한 한, 고객은 더 이상 Ganglia를 포함하지 않는 EMR 7.x로 업그레이드하고 텔레메트리 및 모니터링을 위해 Amazon CloudWatch Agent를 사용해야 합니다.

  • Amazon WorkMail: AWS는 구성 수준 제어를 적용했으며 PHP 8.3.36으로의 업그레이드를 완료했습니다. 고객이 취해야 할 조치는 없습니다.

  • AWS Elastic Beanstalk: AWS는 업스트림 PHP 수정 사항을 포함하는 모든 지원되는 PHP 버전(8.2~8.5)에 대해 업데이트된 PHP 플랫폼 버전을 릴리스했습니다. 관리형 플랫폼 업데이트를 활성화한 고객은 다음 유지 관리 기간 중에 업데이트를 자동으로 수신합니다. 관리형 플랫폼 업데이트를 활성화하지 않은 고객은 문서에 따라 환경의 플랫폼 버전을 업데이트해야 합니다. PHP 8.5/8.4 및 PHP 8.3/8.2.

  • AWS Lambda: AWS Lambda는 관리형 PHP 런타임을 제공하지 않습니다. PHP를 사용자 지정 런타임 또는 컨테이너 이미지로 배포한 고객은 함수에서 사용하는 PHP 버전을 업데이트할 책임이 있습니다. 패치된 PHP 릴리스로 가능한 한 빨리 업그레이드하고 함수를 다시 배포하는 것이 좋습니다. 사용자 지정 런타임 빌드 및 유지 관리에 대한 지침은 AWS Lambda 문서를 참조하세요. Lambda에서 PHP를 실행하기 위해 타사 Bref 프로젝트를 사용하는 경우, Bref는 패치된 PHP 버전이 포함된 업데이트된 계층과 Docker 이미지가 담긴 보안 릴리스를 게시했습니다. 업데이트 지침은 Bref 보안 릴리스에 안내된 내용을 따릅니다.

  • Amazon Linux: 모든 리전에서 업데이트된 PHP 패키지를 사용할 수 있습니다. Amazon Linux에서 PHP를 실행하는 고객은 업데이트된 패키지가 사용 가능해지는 즉시 적용해야 합니다. 자세한 내용은 Amazon Linux Security Center에서 CVE-2026-109618 및 CVE-2026-109619를 확인하세요.

  • Amazon Lightsail: 업데이트된 Lightsail 청사진이 모든 리전에서 이제 사용 가능합니다. AWS는 실행 중인 Lightsail 인스턴스를 현재 상태 그대로 업데이트할 수 없습니다. Lightsail에서 PHP 워크로드를 실행하는 고객은 업데이트된 청사진에서 새 인스턴스를 생성하고 문서를 따라 애플리케이션을 마이그레이션해야 합니다.

  • AWS CodeBuild: AWS는 2026년 10월 30일부터 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12가 포함된 업데이트된 CodeBuild 큐레이티드 이미지를 출시할 예정입니다. 최신 큐레이티드 이미지를 사용하는 프로젝트의 고객은 추가 조치 없이 다음 빌드 시 자동으로 업데이트를 받습니다. 특정 이미지 버전을 고정(pin)한 고객은 최신 이미지 버전으로 업데이트해야 하며, CodeBuild 큐레이티드 이미지에서 사용자 지정 이미지를 빌드하는 고객은 해당 이미지를 재빌드해야 합니다. PHP 8.1 이하 버전은 지원 종료 상태이며 계획된 수정 사항이 없습니다. buildspec에서 이러한 버전을 선택한 고객은 지원되는 PHP 버전으로 마이그레이션해야 합니다.
    CodeBuild는 빌드 서비스의 일부로 PHP 서버를 실행하지 않으므로, 이 문제는 PHP 서버를 시작하는 빌드에만 관련됩니다. 사용 가능한 이미지 및 런타임 버전은 CodeBuild에서 제공하는 Docker 이미지를 참조하세요.

완화 지침:

  • 패치된 PHP 릴리스(8.5.12, 8.4.27, 8.3.36 또는 8.2.35)로 즉시 업그레이드하는 것이 유일한 완전한 수정 방법입니다. 아래 구성 변경 사항은 즉시 업데이트할 수 없는 고객의 영향을 줄일 수 있지만, 어느 것도 완전한 완화 조치는 아닙니다.

  • 추가 완화 조치를 보려면 보안 권고 사항: 중대한 원격 코드 실행 취약점, 지금 업데이트를 참조하세요.

  • 지원 종료 런타임 5.4–8.1: 효과적이라면 CVE-2026-109619에 대해 임시 구성 제어 사항을 적용하고, PHP 워커를 재시작하며, 즉시 지원되고 수정된 PHP 브랜치로 마이그레이션을 시작하세요. 지원 종료된 브랜치에서는 CVE-2026-109618에 대한 수정 사항을 사용할 수 없습니다.

  • AWS WAF 사용 시 보완 제어 사항:
    패치 적용이 유일한 완전한 수정 방법이며, 고객은 최우선 순위로 PHP를 업그레이드해야 합니다. 전체 플릿의 패치 적용에는 시간이 걸리므로, 해당 기간 동안 노출 위험을 줄이기 위해 AWS Web Application Firewall(AWS WAF)를 사용하는 방법을 보여주는 이 블로그 게시물을 검토하는 것이 좋습니다. 참고로, 이러한 상황이 달라지면 이 블로그도 AWS WAF 지침 변경 사항으로 업데이트될 예정입니다.

    AWS는 CVE-2026-109618과 CVE-2026-109619 모두에 대한 보호 기능을 추가하기 위해 AWS WAF PHP Managed Rule Group을 지속적으로 업데이트하고 있습니다. 기본 버전을 사용하는 고객은 별도의 조치 없이 자동으로 보호됩니다. 특정 버전을 고정한 고객은 이 보호 기능을 받기 위해 최신 버전으로 업데이트해야 합니다. 최신 버전 및 추가된 규칙 세부 정보는 AWS WAF Managed Rules 변경 로그를 참조하고 AWS Managed Rules SNS 주제를 구독하세요.

참고 사항:


보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 으로 이메일을 보내 주세요.