Windows용 PHP를 운영한다면, 버전 숫자뿐 아니라 10월 26일 재배포된 패키지가 반영됐는지 확인해 주세요. 이번에는 PHP 본체의 버전 숫자를 바꾸지 않고 포함 라이브러리를 수정했어요.
안녕하세요, 픽가이드예요. 웹사이트·개발 환경의 PHP를 관리하는 분을 위한 보안 소식이에요. 일반 Windows PC 전체에 적용되는 업데이트로 읽지 않도록, 대상과 확인 방법을 나눠 볼게요.
1. 10월 26일, 무엇이 새로 나왔나요
PHP 프로젝트는 공식 공지 날짜 2026년 10월 26일에 Windows 빌드 8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1을 발표했어요. Brotli 1.2.1을 포함해 압축 해제 과정의 범위 밖 쓰기 취약점 CVE-2026-111497을 수정한 패키지예요.
기존 픽가이드의 PHP2Shell 보안 글은 CVE-2026-109618·109619를 다뤘어요. 이번 후속 소식은 다른 취약점과 Windows 패키지 재배포가 새로 확인됐다는 점이 달라요.
공식 발표 — PHP 2026년 공지: 10월 26일 Windows 빌드 재배포
2. 누가 먼저 확인해야 하나요
공식 PHP Windows 빌드에서 cURL 확장을 통해 HTTP 응답 자동 압축 해제를 사용하는 환경을 먼저 살펴봐야 해요. cURL에서는 기본적으로 꺼져 있지만, 앱이나 HTTP 클라이언트 라이브러리가 켤 수 있다고 PHP 팀은 설명해요. 기본값만 보고 실제 앱의 설정까지 같다고 가정하면 안 돼요.
사이트 방문자라는 이유만으로 PC에 PHP를 새로 설치할 필요는 없어요. 직접 서버를 관리하지 않는 사이트 운영자라면 호스팅·유지보수 업체에 확인하는 편이 좋아요. 국내 서비스도 국가명보다 실제 운영체제·패키지·구성으로 판단해야 해요.
3. ‘-1’과 실행 버전 숫자를 구분해요
PHP 팀은 ‘-1’을 의존성을 갱신한 Windows 패키지 재빌드 표시라고 설명해요. PHP 소스 릴리스와 실행 버전은 그대로예요. 따라서 실행 버전 숫자가 같다는 이유로 수정본이 없다고 보거나, 숫자가 최신이라는 이유로 재배포까지 반영됐다고 단정하면 안 돼요.
Brotli 공식 1.2.1 릴리스도 같은 CVE를 보안 수정으로 명시하며 원격 코드 실행 가능성을 설명해요. 이것이 내 서비스에서 실제 침해가 발생했다는 증거는 아니에요.
라이브러리 원문 — Google Brotli 1.2.1 보안 릴리스
4. 지금은 이 순서로 확인해 보세요
① 실제 서비스가 사용하는 PHP의 운영체제와 공급업체를 확인해요. 개인 개발용 환경과 실제 웹서비스를 혼동하지 않도록 각각 기록하세요.
② 담당자에게 “CVE-2026-111497 수정이 반영된 패키지인가요? PHP 실행 버전 외에 Windows 재빌드 적용을 확인할 자료가 있나요?”라고 물어보세요. 공급업체 패키지를 쓰면 그 업체의 적용 공지를 기준으로 확인해요.
③ 직접 관리한다면 공식 배포 페이지와 사용 중인 패키지를 대조하고, 설정·원본 패키지를 보관한 뒤 유지보수 절차에 따라 수정본을 적용해요. 임의의 DLL 하나만 덮어쓰기보다 공급업체가 안내한 전체 적용 절차와 호환성을 확인하세요.
④ 반영 뒤에는 평소 사용하던 외부 API 연동 등 주요 기능을 점검하고 적용 내역을 남겨요. 문제가 생기면 담당자와 복구 절차를 확인하되, 취약한 이전 구성으로 되돌리는 경우의 보안 영향도 함께 판단해야 해요.
공식 배포 — PHP Windows 다운로드 페이지
5. 아직 확인되지 않은 부분도 있어요
이 글에서는 특정 국내 호스팅 업체의 적용 완료나 개별 서버의 취약 여부를 검사하지 않았어요. 공지 날짜는 확인했지만 정확한 발표 시각과 국내 전체 적용 시점은 확인되지 않았어요. 운영 환경별 영향과 적용 완료 여부는 해당 공급업체의 답변·설치 내역으로 확인해 주세요.
공식 자료 확인: 2026년 10월 27일 오후 3시 2분 한국시간. 이 글은 공식 문서를 바탕으로 재구성한 해설이며 직접 침투 시험이나 성능 실험을 한 결과가 아니에요. 대표이미지는 설명용 생성 일러스트로 실제 제품 화면이나 공식 협찬 이미지가 아니에요.